Как вылечить вирус на сайте?

Question

[Drno]

Добрый день. Есть у знакомого простенький сайт, около недели назад стал показывать большую нагрузку на базу данных и сам сайт. Судя по всему какая то вирусня в файлах php
Если кто может подсказать что удалить - буду признателен
PS - чукча не програмист, чукча сисадмин. Я понимаю что там вред код, но не шарю в php)
Ответ хостера

spoiler

Найдены вирусы, спам-ссылки или уязвимые скрипты!
Уязвимые скрипты - 1 шт.
Вредоносный код в php - 2 шт.
Вредоносный код в javascript - 0 шт.

Уязвимые скрипты
/home/p259806/www/xn--e1ajcfyi3f.xn--p1ai/libraries/joomla/session/sess..

Вредоносный код в php
/home/p259806/www/xn--e1ajcfyi3f.xn--p1ai/templates/ot_corpmx/html/com_..

/home/p259806/www/xn--e1ajcfyi3f.xn--p1ai/templates/ot_corpmx/html/com_..

Подозреваю что проблема где то тут?


Содержимое файлов. Код сюда не влезает, залил в облако
https://mega.nz/folder/8dM2nTIQ#rjsnn6-6i0j7ytMVK7lR9A

Answer 1

[Роман Страх]

https://github.com/gregzem/aibolit/blob/master/rea...
Удачи!

Comments

[Drno]

изучу, спасибо

[Роман Страх]

А где вы хоститесь ? У них нет встроенных сканеров ?
+ ко всему этому вам нужно понять как это произошло , даже если вы сейчас все почистите надо найти бекдор, это запросто может повториться если его не закрыть. Проверьте что у вас все темы, плагины последней версии + проверьте чтобы не было не активных тем \ плагинов (их лучше удалить)

[Drno]

Роман Страх, встроенный сканер как раз и показывает зараженные файлы, я их и прикрепил
сайт делался 100 лет назад, этого человека не найти уже. так что я хз что там и где толком (

[Довольный Айтишникъ]

Drno, Joomla и установлена 100 лет назад... Она же уже дырявая как решето, надо обязательно обновлять, иначе опять что-то прилетит.

[Роман Страх]

Drno, я к тому что он (сканер) как я понял , не умеет сам справляться с этими проблема.

[Drno]

Роман Страх, не, только показывает ))))
Довольный Жизнью, еще бы понять как это сделать. т.к. на хостинге нет авторазвертывания джумлы.
не просто же с гитхаба файло скопировать в корень)

[Довольный Айтишникъ]

Drno, двумя словами тут не опишешь, так как при обновлении еще и шаблоны наверняка править придется + подозреваю там версия PHP используется 4.х. В общем для этого дела лучше заплатить знающему человеку, иначе или сайт угробите или так и останетесь на дырявой версии.

[Drno]

Довольный Жизнью, вообщем то я тоже уже мыслю в этом направлении

Answer 2

[exmmth]

base64_decode(...) тут вам положили гадость с 99.9% вероятностью.

Дальнейший алгоритм действий:
1. скачайте архив сайта (можно сделать при помощи akeeba backup) прогоните через айболит, он вам укажет места поражения, удалите лишний код.
2. Обновляйтесь поэтапно судя по вторичным признакам xn--e1ajcfyi3f.xn--p1ai/language/en-GB/en-GB.xml у вас 2.5.5 версия, гуглите как с вашей версии обновиться до 3.х (Там 3-4 переходные стадии будут на сколько помню)

UPD обновление joomla 2.5 до 3.х
https://joomlaportal.ru/faq/installation-and-updat...

Comments

[Drno]

код я вроде!!! (не точно)) ) почистил, базу SQL тоже, обрубил тупо лишнее... будем смотреть что что дальше будет происходить.
Насколько я понял достаточно удалить эту функцию из PHP файлов
$mgp='PGRpdiBpZD0ib3QtamEiPjxhIGhyZWY9Imh0dHA6Ly80dHYuaW4udWEvIiB0YXJnZXQ9Il9ib..... итд там символы)

[exmmth]

Drno, да там две строчки у вас $mgp сам код, и второе где base64 функция вызова их нужно было удалить. сама фукнкция base64 вреда не несет, вопрос ключевой какой код через неё пропускают.

[Drno]

exmmth, да .это я понял. их и поудалял.
осталось понять как джумлу обновить правильно) а то чет вебадминки там нет похоже

[exmmth]

Drno, вот проверенный источник
https://joomlaportal.ru/faq/installation-and-updat...