Сайт долго открывается, множественные обращения к стороннему серверу

I8
На сайте с 26.09.2011
Offline
73
1319

Доброго времени.

Такая проблема, сайт почти не открывается (был раннее взломан, залит дор), тех. поддержка отвечает следующее:

В результате обработки скриптов сайта наблюдаются множественные обращения к стороннему серверу с IP адресом 185.43.223.239:

connect(4, {sa_family=AF_INET, sin_port=htons(80), sin_addr=inet_addr("185.43.223.239")}, 16) = -1 EINPROGRESS (Operation now in progress)
poll([{fd=4, events=POLLOUT}], 1, 5000) = 0 (Timeout)
getsockopt(4, SOL_SOCKET, SO_ERROR, [4294967296], [4]) = 0
close(4) = 0
rt_sigaction(SIGALRM, NULL, {SIG_DFL, [], SA_RESTORER, 0x7fb9890822d0}, 8) = 0
rt_sigaction(SIGALRM, {0x7fb987f85a20, [], SA_RESTORER, 0x7fb9890822d0}, NULL, 8) = 0
alarm(5) = 0
rt_sigprocmask(SIG_BLOCK, NULL, [], 8) = 0
rt_sigaction(SIGALRM, {SIG_DFL, [], SA_RESTORER, 0x7fb9890822d0}, NULL, 8) = 0
alarm(0) = 5
socket(PF_INET, SOCK_STREAM, IPPROTO_TCP) = 4
fcntl(4, F_GETFL) = 0x2 (flags O_RDWR)
fcntl(4, F_SETFL, O_RDWR|O_NONBLOCK) = 0
connect(4, {sa_family=AF_INET, sin_port=htons(80), sin_addr=inet_addr("185.43.223.239")}, 16) = -1 EINPROGRESS (Operation now in progress)
poll([{fd=4, events=POLLOUT}], 1, 5000) = 0 (Timeout)
getsockopt(4, SOL_SOCKET, SO_ERROR, [4294967296], [4]) = 0
close(4) = 0
rt_sigaction(SIGALRM, NULL, {SIG_DFL, [], SA_RESTORER, 0x7fb9890822d0}, 8) = 0
rt_sigaction(SIGALRM, {0x7fb987f85a20, [], SA_RESTORER, 0x7fb9890822d0}, NULL, 8) = 0
alarm(5) = 0
rt_sigprocmask(SIG_BLOCK, NULL, [], 8) = 0
rt_sigaction(SIGALRM, {SIG_DFL, [], SA_RESTORER, 0x7fb9890822d0}, NULL, 8) = 0
alarm(0) = 5
socket(PF_INET, SOCK_STREAM, IPPROTO_TCP) = 4
fcntl(4, F_GETFL) = 0x2 (flags O_RDWR)
fcntl(4, F_SETFL, O_RDWR|O_NONBLOCK) = 0
connect(4, {sa_family=AF_INET, sin_port=htons(80), sin_addr=inet_addr("185.43.223.239")}, 16) = -1 EINPROGRESS (Operation now in progress)
poll([{fd=4, events=POLLOUT}], 1, 5000^C <unfinished ...>

Который на данный момент недоступен. В следствии чего сайт работает некорректно.

Как определить скрипт, который это делает? Сайт на джумле, вижу её первый раз, и дело с такой ситуацией имею впервые, поэтому хотелось бы увидеть толковые советы, что здесь предпринять. Пробовал отключать все модули, какие есть, но всё так же. Что ещё можно сделать?

S
На сайте с 30.09.2016
Offline
469
#1
ivannikov86:
Сайт на джумле, вижу её первый раз

А сайт Вам на день рождения подарили, штоле? :)

По сабжу: у Вас есть возможность смотреть нагрузку на сервер?

Отпилю лишнее, прикручу нужное, выправлю кривое. Вытравлю вредителей.
I8
На сайте с 26.09.2011
Offline
73
#2

Почти.:) Смотреть нагрузку - не вижу такой возможности.

S
На сайте с 30.09.2016
Offline
469
#3
ivannikov86:
Смотреть нагрузку - не вижу такой возможности.

Ну тогда - только искать подозрительный код по всем файлам.

Jaf4
На сайте с 03.08.2009
Offline
804
#4
ivannikov86:
хотелось бы увидеть толковые советы, что здесь предпринять.

я думаю, что вам, как начинающему, будет весьма сложно диагностировать откуда и что берется. Однако, скорее всего, при определенном упорстве, вы найдете что у вас там тащится и откуда. И даже устраните. Но движок так и останется дырявым, вам будут заливать, а вы будете все время это дело выпиливать.

Знакомство с джумлой по такому сценарию не самый лучший вариант. Проще обратиться к спецу.

Зы ко мне обращаться не надо. Чтобы совсем не оффтопить - https://www.virustotal.com/ - для начала сюда. Чтобы хотя бы знать, что искать.

New! NVMe VPS от SmartApe.ru (https://goo.gl/eoYYkS)
I8
На сайте с 26.09.2011
Offline
73
#5
Jaf4:
я думаю, что вам, как начинающему, будет весьма сложно диагностировать откуда и что берется. Однако, скорее всего, при определенном упорстве, вы найдете что у вас там тащится и откуда. И даже устраните. Но движок так и останется дырявым, вам будут заливать, а вы будете все время это дело выпиливать.
Знакомство с джумлой по такому сценарию не самый лучший вариант. Проще обратиться к спецу.

Зы ко мне обращаться не надо. Чтобы совсем не оффтопить - https://www.virustotal.com/ - для начала сюда. Чтобы хотя бы знать, что искать.

Я не начинающий, сайтами занимаюсь давно, и вполне разберусь сам. Просто с джумлой никогда не сталкивался, и на своих сайтах таких проблем не имел. Потому и спросил толковый совет. А движок дырявый, согласен, позже перенесу сайт на другой, но пока нужно вернуть работоспособность на этом. Про вирустотал в курсе, но он мало что даёт, т.к. нельзя увидеть конкретные файлы в которых найдены вирусы.

S
На сайте с 30.09.2016
Offline
469
#6
ivannikov86:
А движок дырявый

А все более или менее крупные движки дырявые. Просто дыры у них разные.

Devvver
На сайте с 02.07.2008
Offline
663
#7

ivannikov86, просканируйте айболитом, может зараза и найдется.

Мой блог. Все о создании сайтов,Seo и СДЛ ( https://devvver.ru/ ) Мой SEO телеграм канал https://t.me/seobloggers
nezabor
На сайте с 19.07.2010
Offline
152
#8

ivannikov86, файл может быть тупо на самом хостинге ищите кодированный код в файлах это и буде ваш родитель мусора, но для начала сайт к себе домой там расчищаем потом новый ак хостинга, только так, но если вас ломанули, а обновить ядро никак, то даже не имеет смысла, вас ломанут через 3-5 дней

Чудес не бывает...

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий