Joomla 被黑并重定向到 dndelectric 网站

Question

我在所有文件中搜索了可能会重定向或将此恶意软件放入我的网站的内容，但无济于事。有谁以前有过这种情况吗？它分布在我托管的多个网站上。它们的共同组件是 jevents，但连它的代码也没有改变。

有什么方法可以阻止来自 .htaccess 的这些请求吗？

Answer 1

您确实需要使您的网站脱机 - 实际上从服务器中删除文件并确定这是什么类型的黑客攻击。

首先，我建议关闭浏览器中的 JavaScript 并访问您的页面 - 您仍然会被重定向吗？

如果不是 - 那么问题是:

a) 一个 javascript 文件已添加到您的网站 - 或现有的 javascript 文件已被编辑。检查页面中加载的所有 .js 文件。

b) sql 注入(inject)已将 javascript 直接添加到您的文章中(可能是每一篇文章

假设您在 javascript 关闭时被重定向 - 那么您正在查看:a) 编辑后的 ​​.htaccess 文件将您重定向到其他地方b) 已编辑(或“包含”)的 php 文件设置 header 并将您带到其他地方。

此处是否列出了您网站中的任何加载项: http://www.exploit-db.com/search/?action=search&filter_page=1&filter_description=joomla&filter_exploit_text=&filter_author=&filter_platform=0&filter_type=0&filter_lang_id=0&filter_port=&filter_osvdb=&filter_cve=

您需要知道是否只有您的网站受到威胁，或者服务器上的其他网站是否受到攻击，甚至服务器本身是否已被接管，这是您的主机的问题。从备份重建后立即重新感染可能意味着:a) 已设置 cron 作业，以便在设定的时间段内重新感染您b) 服务器上的另一个帐户被感染并正在伸出手来重新感染其他帐户c) 您的站点之前已被破坏(在站点内丢弃文件)，但这些文件处于休眠状态，等待个人或僵尸网络连接并控制。d) 或者服务器完全被入侵，黑客只需重新连接即可重新感染

您可以采取一些步骤 - 但坦率地说，如果您需要询问，这可能表明您没有能力在没有专家帮助的情况下处理该问题。

1. 您可以在文件中查找可能的文件模式 c99、r57、web shell、eval(base64decode( 等。

2. 您可以扫描具有最近创建日期或最近修改日期/时间的文件

过去 x 天内更改的文件(本例中为 1 天)

find . -mtime -1

文件在两个日期之间发生更改

find . -type f -newermt "2010-01-01" ! -newermt "2010-06-01"

1. 您应该扫描日志文件以查找可疑事件

2. 您可以下载这些文件并让您的防病毒程序扫描它们 - 这可以为您提供一个起点(不要让它删除文件，因为它们的内容可以提供进一步的线索)。

3. 您应该阻止来自已知自动/脚本化用户代理(wget、libwww 等)的访问

总而言之，您可能会花几天时间来应对这个问题，但不能保证成功。我的建议是向 Joomla 安全专家寻求一些帮助。