Ciao a tutti.
Da diverso tempo ho problemi con un sito joomla a causa di periodiche incursioni. Premesso che il sito è in produzione I problemi che si verificano sono diversi:
1) Nella ricerca google il sito è ben recensito, ma al clik sui risultati si finisce su siti di e-commerce esteri
2) Duplicazione dei file con aggiunta di caratteri, ma parlo di centinaia di file, anche migliaia. Ad esempio in una cartella dove c'e index.php trovo index1.php, index12.php, index123.php e così via ripetuto per decine di file, dentro la maggiorparte di questi trovo la stringa eval64…
3) Creazione di nuovi file tipo edit.php o nomi credibili che però non esistono nell pacchetto originale o nelle extension
4) Hanno aggiunto utenti amministratori su Joomla
5) Creazione di pagine che apparentementemente sono uguali alle originali, ma con url diverse (ad esempio /chisiamo.html diventa contatti/chisiamo.html)
Il punto 5 in realtà succede solo da poco, o almeno credo…
Ora google se ne è accorto e ha messo nello snippet che il sito potrebbe essere compromesso, quindi lo ho messo offline.
Cosa ho fatto fino ad ora
Non ho log apache e il provider dice che il server è sicuro (ma io ho un ragionevole dubbio…)
Ho letto centinaia di guide e di post sui forum, in giro ma sopratutto su questo sito, e a proposito grazie per tanta documentazione!
Ho ripulito da tutti questi file diverse volte, fatto e ripristinato back-up, cambiato le password, di amministrazione ftp e db, reinstallato il core di joomla e le estensioni, cancellando le cartelle dal server e ricaricandole. Ogni volta sembra tutto risolto e invece dopo qualche settimana ricomincio. Le estensioni sono sempre aggiornate e non segnalate nel VEL, Joomla! ultima versione.
Cosa sto per fare
Ho cambiato server http e mysql, metto un proxi firewall, proteggo administrator con password (me lo ha detto che lo fa domani il provider ma non so ancora come fa, se da htaccess, cpanel o altro) e naturalmente cambio tutte le password. Cancello tutti gli utenti che non sono necessari), attivo https e certificato, e che altro, getto un po di sale intorno al computer, non ci credo ma non si sa mai.
Cosa vi chiedo?
1) Tra le tante ricerche non ho trovato nessuno a cui si moltiplicavano i file, se qualcuno ha qualche link o descrizione in proposito mi aiuterebbe
2) Mi sembra che in tutto questo il DB sia ancora intatto, non ci trovo link strani ne codice che a me sembra sospetto, però non si sa mai in particolare quest'ultima volta che, anche dopo aver cacellato centinaia di file corrotti o sospetti, non riesco a eliminare il problema delle pagine che si creano. In particolare, tra quelle che mi ha segnalato come sospette google search console, ce ne è una che è diversa: …nomesito.it/845345/908098/987.html. Ma il punto è che mi sono reso conto che se metto qualsiasi numero dopo l'8 ottengo un'url che mi porta alla home, ad esempio …nomesito/8/ oppure …nomesito/873/ e così via per tutte le combinazioni, e la stessa cosa accade con il 9, che però porta ad un'altra pagina.
Voi direte che, se reinstalli tutto su un nuovo server, cosa ti frega? Si è vero, spero che in una nuova installazione non mi si presenti il problema perché era causato da qualche file che non sono riuscito a trovare, ma mi sta salendo il dubbio, e se invece dipende dal db?
In pratica se qualcuno ha qualche consiglio, riconosce qualche cosa, o mi sa dare qualche dritta, ne sarei più che grato.
Scusate la lunghezza e grazie in anticipo
