Exploit et redirection de chaque sous page

[edi4th]

Bonjour à tous !

J'ai un petit problème sur un Joomla créé il y a quelques années pour un client qui s'est fait piraté sont site web.

Pour poser un peu le décors, ça a été le premier site web que je faisais quand j'étais étudiant, je bossais directement en ligne, sans backup sur mon pc (la lose). Y'a quelques jours, le client me recontact pour me dire qu'en fait, ça fait un bon moment que son site est down (plusieurs mois), et il voulait savoir si je pouvais y jeter un coup d'oeil. J'appelle Nuxit, ils remettent le site en ligne (en fait ils avaient constaté du pishing, donc ils avaient désactivé le site), et là, effectivement, chaque lien du menu du site renvoie vers une page frauduleuse.

Je vais faire un tour sur le ftp direct, et là, je vois quelques noms de dossiers chelou (à base de lettres aléatoire, genre "aomfjjnbbtyu"), et un fichier, run.sh, avec un joli exploit à l'intérieur, et donc l'en-tête est :

#!/bin/sh
# original exploit by sd@****sheep.org, written in 2010
# heavily modified by spender to do things and stuff
# edited by Pashkela for RDOT.ORG 02.06.2013

Il n'y a donc plus aucune page de disponible, et quand je souhaite me connecter à l'interface admin, j'ai une erreur 500...

Je suis un peu désemparé, sans sauvegarde perso, ni de nuxit, que puis-je faire pour au moins accéder à l'interface admin pour voir si les données entrée à la main sont encore là ? Cet exploit est-il connu ?

merci d'avance et bonne soirée !
edi4th.

[manu93fr]

Bonsoir et bienvenu
deja il faudrait qu'on sache sur quelle version vous êtes resté
Peut etre qu'en allant telecharer l'archive de même version et en ecrasant via FTP, ça règlera partiellement le truc

Sinon, un lien vers le site ?

[edi4th]

Merci de la réponse si rapide et désolé des quelques oublis dans ce premier post : /

Je suis sous version 2.5 (en tout cas, c'est ce que me dis le readme à la racine du ftp)

* This is a Joomla! installation/upgrade package to version 2.5.x

Tu parles de télécharger l'archive de la même version, mais du coup, je suppose qu'il faut que je fasse gaffe aux fichiers que je remplace on est d'accord ? Je peux pas y aller comme ça comme un gros bourrin, et tout remplacer si ?

Sinon l'url du site c'est http://www.radio-funambule.com/ . Cependant les liens ne redirige plus vers des sites extérieur, j'ai remis à zero le htaccess qui avait été modifié pour faire ça.

[cavo789]

Bonjour / bonsoir

Note qu'il est toujours possible de "récupérer" ton site en le nettoyant. Tu peux essayer de le faire par toi-même; regarde dans ma signature, tu trouveras des documents pour t'y aider.

Comme le proposais Manu, tu peux aussi remettre un Joomla tout propre (même version) et donc écraser tes fichiers actuels; cela va de fait éliminer *certains* virus mais pas tous, loin de là, puisque tu as des dossiers "chelous" qui resteront, tu as le fichier .sh qui restera, etc.

Remettre aussi ton template, tes composants, ... permettra aussi de remettre à neuf et donc de ne plus avoir, ces fichiers-là, vérolés.

Bonne nuit.

[manu93fr]

un Joomla! 2.5.6 !!! tu pars de loin !

1ere chose a faire, fait une sauvegarde complète du site dans l'etat actuel (sait on jamais)
2eme chose, télécharge le mise a jour 2.5 vers 2.5.28 (derniere version de la branche) , decompresse la sur ton pc et transfère en écrasant tous les fichiers
3eme chose, dans la configuration de Joomla! desactive la reécriture au vol des urls
4eme chose, il va te falloir inspecter les fichiers ou dossiers "chelous"

la deja, tu devrais retrouver un semblant de site .. non ?