Помощь Кто-то создает новые материалы. (Алиас: Super User)

[Asergey]

Joomla!, 3.4.8.
Периодически в разделе Материалы появляются новые материалы со старыми датами создания от пользователя (Алиас: Super User).
Материалы на англиском имеют порнохарактер.
Удаляю , появляются снова. Менял уже все пароли , на бд, на фтп , пересоздал пользователя с правами superuser. Установил Admintools и RSFirewall.
Сканил RSFirewall все в роде чисто. А зараза все равно откуда-то берется.
Может кто подскажет, куда рыть, что искать ?

 

[Hutton]

Если уверен в чистоте файлов джумлы и ее плагинов, надо сервер проверять и смотреть его логи. Может быть его уже сломали, через допустим сайт "соседа" на этом же сервере. Если из вне гадость прилетает смотреть логи веб-сервера.

 

[Asergey]

на соседнем сайте такая же беда.
Нашел в логах RS Firewall
SQL injection attempted.
Debug information

URI: option=com_contenthistory&view=history&list[ordering]=&list[select]=polygon((/*!00000select*/*/*!00000from*/(/*!00000select*/*/*!00000from*/(/*!00000select*/concat_ws(0x7e3a,(/*!00000select*/concat_ws(0x2e212e,0x7753524a3437,session_id,userid)/*!00000from*/rest_session/*!00000WHERE*/userid=984/*!00000limit*/0,1))as/*!00000mk*/)``)``))&item_id=9457&type_id=1
Match: rest_

Нашел статью про эксплоит, который в роде как пофиксили в прошлых версиях. Но у меня последняя версия.

буду дальше ковырять, пройдусь по мануалу, может поможет.
В логах сервака черт ногу сломит.

 

[SuperRomario]

Сканил RSFirewall все в роде чисто. А зараза все равно откуда-то берется

Возможно дело в каком-то модуле или компоненте. У меня была аналогичная проблема с компонентом объявлений ADSmanager, там пользователи могли загружать на сайт файлы и фотографии. Ну и назаливали мне всякой фигни. RSFirewall, кстати, ничего не находил, решить проблему помог хостер, когда со 100 посетителей в день была колоссальная нагрузка на сервер.
Так что если есть возможность юзверями заливать файлы на сайт, то в первую очередь нужно эти папки проверить на "левые" файлы.

 

[Asergey]

Зараза лезла через слайдер
Unite Revolution Slider 2
Видно какой-то редиска напихал в варез "добра"