Probleme beim Aufruf der Website teilweise russiche Meldung

    Hallo Forumgemeinde,


    seit dem Wochenende haben wir eine merkwürdige Situation , manche Besucher unserer Seite berichten uns das die meisten Seiten nur weiss sind und eine russische Meldung angezeigt wird. Bei unseren rechnern mit den Browsern IE und Firefox (neuste Version) zeigen alles korrekt an. Bei mehreren Besuchern mit diversen Betriebssystemen und Browsern ist ebenfalls alles in Ordnung. Unsere Installation ist Joomla 3.4.8 direkt nach Erscheinen im alten Jahr eingespielt. Wir schauen alle 3 Tage ob Aktualisierungen vorliegen und spielen diese ein.


    Letztes Wochenende Freitag und haben wir die letzten Updates eingespielt (Joomlashine Updates). Nach der ersten Information haben wir die Seite durchsucht und diverse Sicherheitsscans durchgeführt alles ohne Befund.


    Hier der Text der angezeigt wird:
    Файл ключевиков keys/strahlcenter-erin.de.txt пуст или не существует. Пропишите туда хотя бы один ключевик.Übersetzung:Datei Stichworte keys/strahlcenter-erin.de.txt ist leer oder nicht vorhanden ist. Verschreiben, um mindestens eines der Schlüsselwörter.


    unsere Seite [entfernt] . Hat jemand eine Idee? Ist seltsam bei ca. 60 % der Besucher ist alles normal bei manchen ist dieses Problem. Vielen Dank schon mal.


    Viele Grüße aus dem Pott!

  • Zum hilfreichsten Beitrag springen

    Hi,


    Ich habe Sicherheitshalber doch den URL entfernt.


    Bitte Überprüfe folgendes:
    Welche Komponenten /Module / Plugins hast du installiert?
    Ggf. fehlt eine deutsche Sprachdatei?


    Bitte überprüfe durch durchsuchen von allen Dateien auf dem Web Space ob diese String irgendwo gibt oder nur Teile. Auch die Datenbank überprüften. (Download als .sql file und dann durchsuchen mit einem editor z.B. Notepad++) Ggf. Sollte auch jemand der sich mit Hacks auskennt sich das mal ansehen. Solche Meldungen werden nicht vom Joomla Core ausgegeben.

    Hallo Zero24,


    habe die Datenbank runtergeladen und durchsucht ( maschinell und manuell) keine russischen Einträge gefunden. Habe mal aus Interesse einen Bekannten gefragt bei dem die Situation auftritt gebeten mit Firebug mal zu schauen was im Quelltext so steht. Hier werden russische Texte angezeigt:


    siehe hier nachfolgend

    aLink"" accessKey"" accessKeyLabel"" attributes[] background"" baseURI"http://www.strahlcenter-...php/produkte/sponge-jet" bgColor"" childElementCount0 childNodesNodeList[<TextNode textContent="Файл ключевиков keys/str... хотя бы один ключевик.">] childrenHTMLCollection[] classListDOMTokenList[] className"" clientHeight169 clientLeft0 clientTop0 clientWidth1536 contentEditable"inherit" contextMenunull datasetDOMStringMap {} dir"" draggablefalse firstChild<TextNode textContent="Файл ключевиков keys/str... хотя бы один ключевик."> firstElementChildnull hiddenfalse id"" innerHTML"Файл ключевиков keys/str... хотя бы один ключевик." isContentEditablefalse itemId"" itemPropDOMSettableTokenList { length=0, value="", item=item(), mehr...} itemRefDOMSettableTokenList { length=0, value="", item=item(), mehr...} itemScopefalse itemTypeDOMSettableTokenList { length=0, value="", item=item(), mehr...} itemValuenull lang"" lastChild<TextNode textContent="Файл ключевиков keys/str... хотя бы один ключевик."> lastElementChildnull link"" localName"body" namespaceURI"http://www.w3.org/1999/xhtml" nextElementSiblingnull nextSiblingnull nodeName"BODY" nodeType1 nodeValuenull offsetHeight19 offsetLeft0 offsetParentnull offsetTop0 offsetWidth1520 onlanguagechangenull outerHTML"<body>Файл ключевиков ke...ы один ключевик.</body>" ownerDocumentDocument sponge-jet parentElementhtml parentNodehtml prefixnull previousElementSiblinghead previousSiblinghead propertiesHTMLPropertiesCollection { names=DOMStringList, length=0, namedItem=namedItem(), mehr...} scrollHeight169 scrollLeft0 scrollLeftMax0 scrollTop0 scrollTopMax0 scrollWidth1536 spellcheckfalse styleCSS2Properties { length=0, MozAppearance="", MozOutlineRadius="", mehr...} tabIndex-1 tagName"BODY" text"" textContent"Файл ключевиков keys/str... хотя бы один ключевик." title"" vLink"" aLink"" accessKey"" accessKeyLabel"" attributes[] background"" baseURI"http://www.strahlcenter-...php/produkte/sponge-jet" bgColor"" childElementCount0 childNodesNodeList[<TextNode textContent="Файл ключевиков keys/str... хотя бы один ключевик.">] childrenHTMLCollection[] classListDOMTokenList[] className"" clientHeight169 clientLeft0 clientTop0 clientWidth1536 contentEditable"inherit" contextMenunull datasetDOMStringMap {} dir"" draggablefalse firstChild<TextNode textContent="Файл ключевиков keys/str... хотя бы один ключевик."> firstElementChildnull hiddenfalse id"" innerHTML"Файл ключевиков keys/str... хотя бы один ключевик." isContentEditablefalse itemId"" itemPropDOMSettableTokenList { length=0, value="", item=item(), mehr...} itemRefDOMSettableTokenList { length=0, value="", item=item(), mehr...} itemScopefalse itemTypeDOMSettableTokenList { length=0, value="", item=item(), mehr...} itemValuenull lang"" lastChild<TextNode textContent="Файл ключевиков keys/str... хотя бы один ключевик."> lastElementChildnull link"" localName"body" namespaceURI"http://www.w3.org/1999/xhtml" nextElementSiblingnull nextSiblingnull nodeName"BODY" nodeType1 nodeValuenull offsetHeight19 offsetLeft0 offsetParentnull offsetTop0 offsetWidth1520 onlanguagechangenull outerHTML"<body>Файл ключевиков ke...ы один ключевик.</body>" ownerDocumentDocument sponge-jet parentElementhtml parentNodehtml prefixnull previousElementSiblinghead previousSiblinghead propertiesHTMLPropertiesCollection { names=DOMStringList, length=0, namedItem=namedItem(), mehr...} scrollHeight169 scrollLeft0 scrollLeftMax0 scrollTop0 scrollTopMax0 scrollWidth1536 spellcheckfalse styleCSS2Properties { length=0, MozAppearance="", MozOutlineRadius="", mehr...} tabIndex-1 tagName"BODY" text"" textContent"Файл ключевиков keys/str... хотя бы один ключевик." title"" vLink""


    Habe mal einige Stellen markiert, habe leider keine Ahnung was dies für Auswirkungen hat. Habe mit Firebug bei mir nachgeschaut hier finde ich nichts. Kann es sein das das Template manipuliert wurde? Habe alle Zeitstempel geprüft hier ist nichts zu erkennen.


    Mfg. Grüßen aus dem Pott


    casbiker

    Hallo,


    leider waren es nicht nur Bekannte sondern Anwender aus verschiedenen Bundesländern mit verschiedenen Rechnern ( WIN und MAC) mit unterschiedlichen Betriebsystemen und Browsern etc. Testweise wurden einzelene Rechner auf Viren geprüft. Leider lässt sich keine Systematik erkennen warum bei einzelnen mit gleichen BS und Browser eine weisse Seite mit russischen Text erhalten und andere nicht.


    Unsere Website wird täglich auf Sicherheit und in diesem Fall mit diversen Prüftools geprüft alles negativ. Wir nutzen 13 stellige Passwörter , AdminTool von Akeeba. Leider sind meine Kenntnisse im Bereich HTML / PHP und Javascricpt nicht so das ich den Code prüfen kann oben im Beispiel.


    mfg Casbiker

    Hallo Casebiker,
    Ggf. ist das Script zum Umschalten von mobiler Ansicht in Desktopansicht verantwortlich.
    Auffällig finde ich, dass ich die "russische" Seite angezeigt bekomme, wenn ich die Seite direkt über http://www.strahlcenter-...php/produkte/sponge-jet (aus deinem Post ermittelt) aufrufe. Hier scheint auch der Joomla-Schutzmechanismus nicht zu greifen. Hier scheint mir ein Fehler in der Programmierung eures Templates oder der eingesetzten Komponente vorzuliegen. Woher kommt das Template? Ggf. Russischer Programmierer?
    Gruß
    Andreas

    Hi,


    bekanntes Symptom. Google: https://www.google.de/search?q…ei=Lj-pVrPwO8SasgGyy4j4CA


    Besonders interessant:
    http://forum.joomla.org/viewto…p?f=706&t=902833#p3352730


    Scheinbar wurden kritische Updates doch zu spät eingespielt. Bzw. einige hatte es ja auch schon vorher getroffen.


    Gruß


    Pascal

    Ich habe eben mal ein bisschen mit einer virtuellen Maschine rumgespielt und konnte den Fehler bekommen.


    Einstellungen: Firefox im Privaten Modus + IP aus New York. Problem, ich kann es nicht reproduzieren.


    Ich hab mal notdürftig ein paar Screenshots gemacht.


    http://abload.de/img/bildschirmfoto-4qpj41.png
    ---------
    http://abload.de/img/bildschirmfoto-37qkj4.png
    ---------
    http://abload.de/img/bildschirmfoto-2q0j88.png
    ---------
    http://abload.de/img/bildschirmfoto-18jjwk.png
    ---------
    http://abload.de/img/bildschirmfotorajc1.png

    Die defines.php wird verändert sein. Bei mir funktioniert in jedem Browser nur die Startseite. Alle Unterseiten liefern die russische Meldung.
    Schritt 1 in solchen Fällen ist die Verifizierung der Core Dateien (Abgleich mit dem Original). Lokal geht das z.B. per WinMerge.
    Und such (auch) mal nach
    preg_replace("


    - siehe joomla.org thread

    Hallo zusammen,


    das Template kommt von Joomlashine ( JSN EpicPro) , ebenso haben wir von denen JSN Power Admin, JSN Easy Slider, JSN mobilize, JSN Imageshow, JSN Uniform. habe natürlich schon im Template den Integritätscheck gemacht. Alles gut. Alle Komponenten/ Module sind auf dem neusten Stand. Dies wird alle 2 Tage geprüft.
    Bei Mobile Devices hat noch keiner ein Problem gemeldet.


    mfg. Casbiker

    Hallo zusammen,


    <?php
    /**
    * @package Joomla.Administrator
    *
    * @copyright Copyright (C) 2005 - 2015 Open Source Matters, Inc. All rights reserved.
    * @license GNU General Public License version 2 or later; see LICENSE.txt
    */


    defined('_JEXEC') or die;


    // Global definitions
    $parts = explode(DIRECTORY_SEPARATOR, JPATH_BASE);
    array_pop($parts);


    // Defines
    define('JPATH_ROOT', implode(DIRECTORY_SEPARATOR, $parts));
    define('JPATH_SITE', JPATH_ROOT);
    define('JPATH_CONFIGURATION', JPATH_ROOT);
    define('JPATH_ADMINISTRATOR', JPATH_ROOT . DIRECTORY_SEPARATOR . 'administrator');
    define('JPATH_LIBRARIES', JPATH_ROOT . DIRECTORY_SEPARATOR . 'libraries');
    define('JPATH_PLUGINS', JPATH_ROOT . DIRECTORY_SEPARATOR . 'plugins');
    define('JPATH_INSTALLATION', JPATH_ROOT . DIRECTORY_SEPARATOR . 'installation');
    define('JPATH_THEMES', JPATH_BASE . DIRECTORY_SEPARATOR . 'templates');
    define('JPATH_CACHE', JPATH_BASE . DIRECTORY_SEPARATOR . 'cache');
    define('JPATH_MANIFESTS', JPATH_ADMINISTRATOR . DIRECTORY_SEPARATOR . 'manifests');


    Hier mal die defines.php ich bin hier nicht der Fachmann.


    mfg. casbiker

    Hallo Skodi,


    ja hier steht die preg Geschichte drin. Der Zeitstempel der Datei ist aus 08. 2015



    Kannst Du das entziffern ? Was kann man dagegen tun ?


    mfg. Casbiker


    Edit @Indigo66: Langen Code in Spoler packen, siehe Forenregeln.

    Hi Webworker Berlin,


    danke erstmal für die Hilfe, was kann man dagegen tun. Habe mal gegooglet es git 2 Firewalls AdminTools und RSFirewall würden diese helfen?


    Hat hier jemand Erfahrungen, so macht es keine Freude....

    • Hilfreich

    Vergiss erstmal diese Firewalls. Darum gehts im Moment nicht.


    Erstmal muss die Seite bereinigt werden.


    Und nein, wenn du einfach den Code in der defines.php löschst, ist die Seite deswegen noch nicht bereinigt.
    1. Weiß man nicht, wie der Angreifer Zugriff erlangen konnte (welche Lücke wurde genutzt)
    2. Weiß man nicht, was er sonst noch getrieben hat. Meistens wird nicht nur eine Datei verändert, sondern es werden im System Hintertüren eingebaut, damit man die Seite immerwieder hacken kann.


    Wie man eine Seite "bereinigt", dazu gibt es an vielen Stellen im Netz entsprechende Anleitungen:
    https://www.fc-hosting.de/joomla/tips-joomla-gehackt.php


    Liest sich deutlich einfacher, als es tatsächlich ist. Trotzdem ist es wichtig, dass die bereinigte Version keinen Schadcode, keine Hintertüren und keine Lücken hat.
    Um das zu erreichen, kann man auch Leute beauftragen die sowas täglich machen. Kostet ein paar Euro, dafür wirds ordentlich gemacht.


    Wenn man definitiv wieder eine saubere Seite hat, kann man sich über die Sicherheit nochmal Gedanken machen.
    Updates machen & Backups machen ist das Wichtigste. Außerdem: Sparsam mit Erweiterungen sein, nach Möglichkeit soviel es geht mit den hauseigenen Joomla-Mitteln machen.
    Danach kann man entscheiden wie weit man hochrüsten will.
    Ein .htaccess-Schutz für den Administrator-Bereich ist meiner Meinung nach sinnvoll.
    Ein sehr guter Joomla-Hoster kann manchmal auch hilfreich sein. Wenn bestimmte Angriffe gehäuft auftauchen, setzen die Hoster manchmal entsprechende Filter, dass solche Angriffe direkt ins Leere laufen usw. Viele bieten auch einen Update-Service, da ist das Update dann 1 Minute nach erscheinen eingespielt.


    Danach kommen wir langsam in einen Bereich in dem auch viel "Schlangenöl" angeboten wird.
    Was man grundsätzlich so alles machen kann, kannst du dir z.B. bei www.joomla-security.de anschauen.


    Und hier noch ein interessanter Hang-Out zum Thema:

    Externer Inhalt www.youtube.com
    Inhalte von externen Seiten werden ohne Ihre Zustimmung nicht automatisch geladen und angezeigt.
    Durch die Aktivierung der externen Inhalte erklären Sie sich damit einverstanden, dass personenbezogene Daten an Drittplattformen übermittelt werden. Mehr Informationen dazu haben wir in unserer Datenschutzerklärung zur Verfügung gestellt.