[romka69]

Здравствуйте! Есть сайт, на который можно зайти напрямую, но если зайти по ссылке из поисковика на любую страницу из этого сайта, то перенаправляет на левый сайт аля "отправь смс и получишь много чего". Подскажите в какую сторону копать? Индекс и аксес вроде чистые. Хостинг говорит, что с его стороны нету проблем. Запрос в гугле

Развернуть текст

Тверское дворянское собрание

[свернуть]

[G00D]

Также через .htaccess может быть организованно
Редактируем .htaccess, и вписываем туда код:

Код:

RewriteEngine On
RewriteCond %{HTTP_REFERER} .*google.* [OR]
RewriteRule ^(.*)$ http://http://webmasters.ru [R=301,L]

Мы перенаправляем всех, кто перешёл с google на webmasters.ru,при этом вылизит 301 редирект.

[pinskiy]

Вирус. Смотрите код сайта на предмет редиректа. Код обычно внедряется в сам сайт или .htaccees. В инете обсуждалось уже. Поищите по запросу "поведенческий анализ Яндекс" или как-то так.

[OKyJIucT]

romka69, это классический клоакинг. Скрипт, который проверяет реферера (страницу, откуда пришел посетитель). Если по прямой ссылке (либо не из поиска), то выдает настоящий сайт. Если с поиска - отправляет на партнерскую программу (чаще всего).

Тут _http://beerhack.name/doorway/delaem-kloaking-dorvei-44 можете почитать о таком скрипте. Чаще всего его внедряют в index.php файл (либо другой основной файл движка).

[Nikita_Melnikov]

romka69, копать в сторону только освобождённых URL от проектов с тиц 10 и выше. Ну а дальше всё просто.

[seregakiev]

У меня была такая проблема с сайтом клиента. Это был взлом... (это самый крутой взлом сайта который я видел) Посмотри в исходники своего сайт, сразу же уведешь что код не такой как должен быть)

[Vladimir-AWM]

Если индекс чистый, то нужно искать в других файлах которые инклудяться движком.

Заходи по FTP и ищи по дате изменения файлы и папки.

Как вариант можно через SSH произвести поиск внутри файлов на предмет закодированного кода (т.к. обычно такие коды кодируют) и проанализировать, вот команда:

find ./ -type f -name "*.php" -exec grep -H "base64_decode" {} \;

Еще можно было бы написать какой движок стоит на сайт.

[oydrag]

Уже все сказали, по сути. Можно еще отобрать все новые файлы на ftp с момента обнаружения вируса - так найдете где он сидит, если он создал свои какие-то.

[romka69]

Вертится сайт на Джумле. С датой файлов к сожалению не сравнить, бекап восстановлен и походу уже зараженный. Если восстановить бекап, то пару дней все хорошо, а потом опять эта демагогия. Спасибо за советы, попробую по ssh