Технический сбой

Сайт временно работает в режиме только для чтения, идут восстановительные работы. Приносим свои извинения за неудобства.
DLE FAQ » Все вопросы » Общие вопросы » Подцепил вирус - редирект, никак не могу найти. Помогите!

Подцепил вирус - редирект, никак не могу найти. Помогите!

     вирус, редирект, dle 9.3    Все вопросы » Общие вопросы    9453

вопрос
Имеется dle 9.3, на которую относительно недавно забрался вирус, и сидит непонятно где. Нашел я его в яндекс-метрике в исходящих ссылках, выглядит он как редирект:

http://gobongo.info/r?ad=7&hash=60ce1b1cac21f02fbac8efe55176efb7&time=1404625633231&uid=82454a9a9e448f810473ae76dc2a1cad:1529&serv=r1&g=8&target=http://www.otvetim-vopros.com/

в htaccess - редиректов нет.

Проверял антивирусами онлайн, dr.web говорит нет вирусов. Так же проверял программой ai-bolit, которая так же не нашла ничего опасного.

Но тем не менее вирус где-то сидит и каждый день в метрике показываются переходы с сайта на эти "ответы".

Подскажите, где можно копнуть, чтобы найти эту хитрую заразу.

Ответа пока нет

 

9 комментариев

Gopr
Юзер

Gopr - -

Дайте адрес вашего сайта
RedRat
Юзер

RedRat - -

Чаще всего:
1. Языки системы.
2. Файл конфигурации.
3. index.php
4. .htaccess
5. шаблон/login.tpl
6. шаблон/main.tpl
7. smartphone/main.tpl | login.tpl

Совет: обратитесь к специалистам, т.к. здесь нужна комплексная профилактика сайта, а так же наблюдение за ним в течении 3 месяцев. Дыры в два счета редко удается найти, и приходиться "брать на живца".
justalex
Юзер

justalex - -

RedRat,
Проверил эти файлы, но там ничего нет подозрительного.

Забыл сказать что примерно месяц назад, заметил этот вирус, который был запущен в систему через дыру в загрузке аватара (уже профиксил), тогда во многих файлах, в.т.ч. htaccess, шаблона и из папки /engine/... поудалял куски кода, в которых были ссылки на непонятные сайты, а так же код типа: eval(base64_decode... тогда с андроида на сайт нельзя было попасть, теперь работает, но похоже что то, что есть сегодня, это остатки того самого вируса.

Кстати обнаружился еще один редирект на левый сайт, выглядит он так: adcash.com/script/pop_packcpm.php?k=53b93b89bba96305607.911573&h=3e1727c6705508840168ac31fba22b4bf5ac9571&id=0&ban=305607&r=232685&ref=h&data=&subid=&iid=35616704021404648329850022254&new=1&dx=%3D%3DwD

вы можете подумать что это попандер я поставил, или рекламу от тизерки, но на сайте никакой другой рекламы кроме маркетгида я никогда не ставил, маркетгид отключил для эксперимента, а исходящие ссылки в статистике показывает все-равно, значит где-то живет вирус
rocksmart
Юзер

rocksmart - -

меняй пароли ftp
justalex
Юзер

justalex - -

rocksmart,
та, это что, уже давно поменял, права везде позакрывал
lutskboy
Эксперт

lutskboy - -

ДЛЕ дырявый. Тем более до 10 версии включительно. Пароли меняй не меняй, толку ноль.
RedRat
Юзер

RedRat - -

Еще вариант где прячется: База данных, таблица новостей dle_post. Обычно приписывают к новости код, вида JS.

Скачайте сканер:
http://admin-club.ru/scripts/573-simple-scaner-last-modificied-files.html

1. И запустите. Он выдаст последние измененные файлы. Если код дописывает робот, то он непременно наследит и вряд ли позаботиться о том что бы замести следы. Поэтому, вероятно, что "паучки" будут в топе, по дате изменения файла.

2. Скачайте, если сервер удаленный, сайт полностью на локальный компьютер. В Total Commander, запустите поиск по файлам "*.php", с содержанием "eval(b". К тому же, любой локальный антивирус засекает вредоносный веб-код и сигнализирует об этом. Даже Windows Defender, не говоря уже о Касперском.

3. "Заморозьте" сайт, наложите права 666 (запрет на любую запись) на все файлы и папки сайта. Но только после сканирования по последним измененным файлам.

4. Сканирование файлов делайте каждые 4-6 часов.


У вас VPS или снимаете хостинг?
Адрес вашего сайта (если 18+, то в ПМ)?
Установлены ли какие-либо модули, если да, то какие точно?
profdesigner
Юзер

profdesigner - -

Посмотри в Шаблоне. Такое же дело ловил. Это может быть подставленный шаблон новый (у меня был smartphone) и назначенный по умолчанию. Я просто выбрал свой предыдущий шаблон из попытался максимально закрыть образовавшуюся дыру.
Lynat1k
Юзер

Lynat1k - -

та же фигня на сайте
те же переходы на сайт этот. хз че делать

Похожие вопросы

 01.07.2013 Гость  Общие вопросы
 09.10.2013 xpchelkinx  Общие вопросы
 15.12.2013 DatiX  Общие вопросы
 18.12.2013 i_loves_ac_dc  Общие вопросы, jQuery, Общие вопросы по PHP
 11.03.2014 batman_wlad  Общие вопросы
 15.05.2014 Бахмут  Общие вопросы
 30.05.2014 Бахмут  Общие вопросы
 06.08.2014 ig55555or  Общие вопросы, Общие вопросы по PHP
 25.09.2014 Lynat1k  Общие вопросы
 29.09.2014 lodem009  Общие вопросы
  • Puxlik | Telegram Sender 13
    Фото Puxlik
    Puxlik
    Telegram Sender
    Версию 17.1 поддерживает ?
  • TeraMoune | Не загружается изображение [Ошибка HTTP] ... 2
    Фото TeraMoune
    TeraMoune
    Не загружается изображение [Ошибка HTTP]. Как исправить?
    В этой версии есть фрагментация загрузки файла когда загружаемый файл разделяется на фрагменты, по умолчанию 1 фрагмент 1.5мб. (И у вас написано лимиты на файл 4мб и картинки 5.86мб, этого достаточно чтобы принимать 1.5мб фрагменты) И если бы была проблема с весом или чем-то подобным то об этом бы сервер сообщил. Сервер отдал 500 ошибку это значит что угодно, нужно смотреть ответ от сервера в консоли разработчика или логах.
  • RedFox | Не загружается изображение [Ошибка HTTP] ... 2
    Фото RedFox
    RedFox
    Не загружается изображение [Ошибка HTTP]. Как исправить?
    "Некоторые картинки загружаются, но большинство нет."

    Сначала не обратил внимания, но видимо проблема в этом. Все, что больше 100Кб, не загружается. Что странно, поскольку в php у меня следующие значения:
    post_max_size = 100M
    upload_max_filesize = 100M
    max_file_uploads = 20

    Полагаю, где-то еще надо увеличить размер загружаемой картинки, но где?
  • LMakc | Модуль читалка pdf 1
    Фото LMakc
    LMakc
    Модуль читалка pdf
    Не начинай, я заплатил сегодня штраф за підручники. Сейчас очень сложно с этим.
  • ssssss | Сделать подсчет количества символов в ко ... 5
    Фото ssssss
    ssssss
    Сделать подсчет количества символов в комментариях
    Есть актуальный плагин под 17 версию? (только количество символов! без наворотов... записей куда-либо и т.п.) *ББ-редактор
  • alex.sg.spb | Как вывести информацию о обновлении ново ... 8
    Фото alex.sg.spb
    alex.sg.spb
    Как вывести информацию о обновлении новости, но на время?
    вопрос, в продолжение поста. Помогите с кодом вывода инфо UPDATE на краткой новости, так чтобы не нужно было нажимать внутри новости при редактировании галочку?
  • Kentavr | Как вместо %20 в адресной строке подстав ... 9
    Фото Kentavr
    Kentavr
    Как вместо %20 в адресной строке подставлять символ + между словами ???
    Спасибо огромное. Этот вариант самый простой и рабочий!
  • derebas | Как вместо %20 в адресной строке подстав ... 9
    Фото derebas
    derebas
    Как вместо %20 в адресной строке подставлять символ + между словами ???
    К черту htaccess давайте проще

    к href добавьте id="xfield_value"
    <a href="/company/[xfvalue_company]/" id="xfield_value">[xfvalue_company]</a>

    И добавьте скрипт обработчик 
    <script>
document.addEventListener('DOMContentLoaded', function() {
    const links = document.querySelectorAll('a#xfield_value');

    links.forEach(link => {
      let href = link.getAttribute('href');

      if (href) {
        href = href.replace(/ /g, '+');
        link.setAttribute('href', href);
      }
    });
  });
</script>
  • Kentavr | Как вместо %20 в адресной строке подстав ... 9
    Фото Kentavr
    Kentavr
    Как вместо %20 в адресной строке подставлять символ + между словами ???
    Так сайт не работает вообще. Браузер выдает такое

    Страница недоступна Сайт ... выполнил переадресацию слишком много раз.
    Попробуйте удалить файлы cookie.

    ERR_TOO_MANY_REDIRECTS

    Куки чистил не помогает
  • derebas | Как вместо %20 в адресной строке подстав ... 9
    Фото derebas
    derebas
    Как вместо %20 в адресной строке подставлять символ + между словами ???
    Попробуйте так
    RewriteEngine On
    RewriteCond %{REQUEST_URI} %20
    RewriteRule (.*)%20(.*) $1+$2 [N]
    RewriteRule (.*) $1 [R=301,L]
наверх