codice spam nel sito mi date una mano?

[glm2006ITALY]

Salve.

Sono un neofito di joomla!...

Una mia cliente ha  un sito in joomla! a cui sta capitando questo:

nel codice sorgente di tutte le pagine appare un codice "nascosto" con decine e decine di frasi e link spam (*** e company)

Effettuato l'accesso, modificato il file index.php e tutto sembrava "risolto"

Sono passati 7 giorni e mi vedo apparire di nuovo il codice, un poco diverso , ma sempre sto maledetto codice!!!

---
<!-- Begin News --><u style='display:none'>non *** prescription <!-- End News -->
---

Il codice  è stato "tagliato" se volete vederlo per "intero" basta che andiate su www.nauticapiu.net e visualizziate il codice sorgente.

Ho poca esperienza con joomla.... se qualcuno riesce a darmi una mano.. grazie di cuore 

[frascan]

Ciao.
Ma il sito in questione non lo hai sviluppato tu vero?
A me sembra fatto apposta quel lavoro lì anche perchè nel template c'è proprio un div chiamato left-shadow che è tutto dire ed è all'interno di quel div che è contenuto il codice incriminato.

[glm2006ITALY]

No non sono lo sviluppatore

Ok ma ,scusa, se elimino questo "tag" e si ricrea non è un atteggiamento "normale" , no?

[glm2006ITALY]

Oltrettutto  che utilità avrebbe inserire decine di frasi/link spam nel codice? 

[frascan]

Dipende dove lo stai eliminando il tag punto primo.

Punto secondo ed ancora più importante lo sviluppatore è ancora in possesso dei dati di accesso al pannello di amministrazione di joomla, al server e via dicendo?

[mau_develop]

versione di joomla?

da dove viene quel template?

oltre a cancellare dovresti cambiare le password di:
-mysql
-ftp
-cpanel
-admin joomla
-user joomla

...cancellare serve a nulla se ha le chiavi di casa

M.

[glm2006ITALY]

Ho eliminato tutti gli utenti tranne l'amministratore al quale ho sotituito la pass.

Quanto alle modifiche le ho fatte da "gestione temi" quindi modifica sorgente ed ho eliminato "a mano" il tutto

Devo chiedere al provider di cambiare tutto?

[56francesco]

Devo chiedere al provider di cambiare tutto?

se non hai un pannello gestione serio dal quale cambiare le credenziali di accesso al database e all'ftp allora si...
e poi dovrai modificare il configuration.php
sperando che nel frattempo che l'assistenza cambi e ti comunichi le nuovi credenziali ti lascino in pace..

[glm2006ITALY]

Quindi mi confermate che il sito è "sotto attacco"?

Non c'è un log per controllare gli accessi a joomla (così ,credo, si possa capire se "l'amico" sfrutta una falla del server o accede comodamente dal pannello di joomla....)

[56francesco]

Quindi mi confermate che il sito è "sotto attacco"?

scusa ma dove lo leggi?
diciamo che è buona norma modificare le credenziali quando si vuole, in questo caso meglio volerlo..

anche se trattandosi di spammer saranno passati dal solito servizio esterno..

per i log credo che se stai su un hosting condiviso puoi solo chiedere (con poche speranze) che l'assistenza ti dica di più..

[mau_develop]

lascia perdere di sprecare energie inutili.

cambia tutto ciò che ti ho detto,

aggiorna joomla se c'è da aggiornare,

aggiorna tutti i componenti (che sicuramente da qualche parte il buco c'è) ... ero convinto passasse dal template ma me lo sono scaricato e non vedo nulla di sfruttabile per fare quella cosa.

SE NON hai la 1.5.15 è il problema degli articoli, aggiorna.

non c'è null'altro da dire/fare

M.

[glm2006ITALY]

ok... si effettivamente la ver. non è l'ultima

Ci sono "pericoli" nell'aggiornare?

Se copio tutti i file  in locale basta come "backup" ?

[56francesco]

non hai servizi esterni, strano.. i mancati aggiornamenti di joomla finora hanno agevolato altri tipi di attacchi mentre di questo tipo per mancati aggiornamenti sarebbe la prima volta che ne trovo citazione nel forum..
vedremo..
per caso avevi attivato l'ftp layer? se si disabilitalo, è sempre sconsigliato.

[glm2006ITALY]

dove posso controllare?

[glm2006ITALY]

La ver. di joomla è la 1.5.10

[mau_develop]

...apposto, non cercare nemmeno da dove sono passati, te lo dico io... ovunque.

cambia anche quelle delle caselle mail associate al dominio.

M.

[glm2006ITALY]

Che bello 

Prima cosa devo cercare di capire i dati di accesso FTP...

in queste condizioni cosa mi conviene fare per primo, aggiornare?

[mau_develop]

...togliere quei due hoster sennò te magnano

M.

ps ma chi ha scritto il replace automatico

siete cattivi solo con sgargaragnaubau? nn'è giusto

[glm2006ITALY]

Tolti, scusate 

[mau_develop]

se puoi porta tutto in locale e fai tutte le operazioni lì.

poi pialli qualunque cosa in remoto, db compreso

rifai l'upload

M.

ps tieniti sempre copie di backup