[Павел Joofaq]

ТС, найти вредоносный код обычно особого труда не составляет.

Проставив пару строк кода они получают полный доступ к сайту

Тут возникает другой вопрос - чтобы поставить пару строк кода, сначала нужно найти уязвимость, через которую они это сделали. Вы нашли дыру?

Чаще всего ломают, если:

1. Вы устанавливаете взломанный контент: компоненты, шаблоны (а это бывает ОООЧЕНЬ часто) и т.д.
2. Вовремя не обновляете систему и используемые расширения.
3. Простые пароли.
4. Ну и т.д. до бесконечности. Причин очень много.

Последняя серьезная атака на Joomla была около года назад, когда вовремя не была обнаружена уязвимость популярного компонента JCE. Вот тогда был полный хаос!

[seobb]

В шаблонах до этого ничего не было, и потом, где вы там шаблоны увидели? У меня сохранялись бекапы и есть версии этих файлов, с которыми можно сравнивать. Более того, нашел еще один проект, где этот код был внедрен на 2 месяца, а затем удалён, т.е. злоумышленник подчистил его за собой через некоторое время. Для чего это делали - так и не понял. Как удалось его внедрить тоже непонятно. Пароли на всякий случай везде сменил.

[STRIJ]

Vitaxxxa,

Подскажи плиз, как закрыть на запись?

Но еще дело в том, что нет кода в сторонних файлах, файл новый создается, как бы запретить и создавать новые файлы и загружать.

[Vitaxxxa]

STRIJ, Заходишь на FTP через FileZilla или другой ftp клиент, Находишь папку с активным шаблоном (или ту папку в которой файл с вирусом появляется постоянно) Для WP "wp-content -> themes -> Название шаблона". Дальше правой кнопкой на папке -> права доступа к файлу. Снимаешь галочки с записи и ставишь галочку применять ко всем файлам и каталогам -> ОК. У меня после этого файл перестал появляться.

[STRIJ]

Vitaxxxa,

А, ты про это... ну это понятно, что права на папки и файлы надо проверить, для папок должны быть 755, для файлов 644. ПОнял, ты предлагаешь ументшить права на папку, чтобы никто ничего не смог загрузить, даже ты сам. Попробую, спс.

[MiranFroade]

чем сканировать сайт (все файлы) на наличие строчек кода?

[izyalex]

Самый эффективный способ - это анализ POST запросов из логов.

[milkyway]

STRIJ,Тебе на античат! Скорее всего sql injection

[matios]

Скорее всего sql injection

Бред несете. Где вы тут SQL увидели?

[_Серега_]

на хабре про функцию assert из сабжа, которая используется для выполнения произвольного кода

Из первого комментария там же

"В production environment опция assert.active выключена и аргумент ассерта не вычисляется => злоумышленник ничего не получит."

Редактируйте php.ini или пишите хостеру