funkce eval()

ernst napsal: Jsou editory, které umí procházet soubory ve více adresářích a nahrazovat text (např. phpDesigner), ale je otázkou, zda je to ta správná cesta

To je dnes již k ničemu. Kde jsou ty časy, kdy stačilo dát jednoduše vyhledat eval, a bylo hotovo. Dnes ty napadení různě funkce maskují pomocí sčítání řetězců, base64 enkódování apod.

Pokud nechcete dělat kompletně čistou instalaci (a je to opravdu možná nejlepší) musíte zajistit
1/ opravu napadených souborů - relativně jednoduše - prostě přepsat všechny souboru z posledního instalačního balíčku Joomly. Pozor ale na další rozšíření, ideálně přeinstalovat všechny rozšířní, tak aby si znovu přepsala své soubory

2/ odstranit soubory které jsou navíc - a to je už složitější. Začít můžete kompletním smazaním obsahu cache - tím nic nezkazíte, potom např. ve složce images by neměl být žádný soubor php, tedy pokud máte web rozumně navržen, obsah libraries také bývá oblíbeným cílem útoku - to můžete porovnat s obsahem z instalace (např. total commander na to má skvělý nástroj "Synchronizace složek"), no ale pak Vás čeká ještě obsah šablon - také časté místo útoku a komponent (modulů, pluginů apod). A tam aby jste procházel jednotlivá rozšíření a porovnával s obsahem instalace.

Takže pokud to shrnu, základ je "zálohovat, zálohovat, zálohovat" ideálně rozšířené např. o ty Admin Tools (mají mimochodem skvělou funkci na upozorňování na rozdíly v souborech, takže když už k napadení dojde, strašně rychle zjistíte co bylo napadeno).

ernst napsal: funkce eval() umí pustit libovolný script, ale ten v ní musí být napsán.

Popř. ji lze zakázat v nastavení PHP, některé hostingy to tak mívaly.

Antivir už dnes bohužel nenajde zdaleka vše, a hledání funkce eval už také nepomůže. Ano, na několika místech je funkce eval použita i v základu Joomly, sama o sobě to není škodlivá funkce, jen je zneužívána právě útočníky.

Podzimní útoky Admin Tools (pokud byly aktuální a rozumně nastavené) dokázaly zastavit. Spíš bych řekl že napadení už tam mohlo být delší dobu, jen se v poslední době začalo projevovat. Tak se dnes hacky často chovají. Ne že po napadení hned začnou posílat spam, ale klidně si sedí, občas se rozkopírují a aktivní začnou být třeba až po roce, kdy už jsou dostatečně rozmnožené. A nebo napadení nešlo přes web ale přes FTP.

Viděl bych to buď na doporučení hostingu "...obrátit se na specialistu, který se danou problematikou zabývá.", nebo na čistou instalaci a ruční překopírování obsahu (nebo nějakým udělátkem).