Взлом сайта с помощью другого сайта. Доверяй, но проверяй

Возможно, кому-то показался предвзятым тон статьи, а кому-то — очевидной причина спама. Но действительно если даешь негативную оценку, то дай свой фидбек по материалу, чтобы автор мог учесть в будущем.

Статья опубликована в 01:36, ваш комментарий в 01:46. Вы считаете, что люди не могут за 10 минут 80 предложений прочитать?
И на данный момент у статьи всего 2 минуса. Почему это вас так задевает?

но связаться с кем либо из них, на данный момент, он не может.
Мы попросили клиента связаться со своим другом

Что-то тут не сходится. Он сказал, что не может связаться, но потом вы попросили его это сделать.

Не могу мол понять, почему то сайт не работает. Хостинг вроде оплатил, домен продлен, что не так с сайтом совсем не знает.
что по словам друга, сайта на аккаунте больше нет и восстановить ничего не выйдет. Так ему сказали те самые разработчики

И тут не сходится. Друг ему сказал, что сайта больше нет, но он якобы не может понять, почему сайт не работает.

производилась рассылка спам писем, адреса которых хранились во все той же базе данных сайта, которую предыдущие разработчики не удосужились проверить

Простите, что? Спам это по определению нежелательные письма. Даже если бы они "удосужились проверить", то что они должны были обнаружить? Какие-то почтовые адреса, пользователи которых не хотят получать спам? Почему это должно было их насторожить?

Скриншоты и примеры вредоносного скрипта небыли выложены по причине того, что всегда найдутся личности, использующие пример кода как основу для своих детищ

А нафиг вы вообще написали про это на технический сайт? Покрасоваться какие вы клёвые?

Для тех кто считает статью плохой и ставит минусы: пишите пожалуйста в комментарии почему вы так решили.

Хотя минусов я не ставил да и не могу я этого делать, но попробую сформулировать причину, почему мне не понравилась статья.

Проблемы, описанные вами, уже лет 10 как довольно будничные и не представляют какой-либо теоретической ценности. Профессионалы решают их «по щелчку» и без всякого интереса — ибо набили оскомину.

Мы создали новый запрос в техподдержку, с просьбой уточнить, в каких именно файлах был обнаружен вредоносный скрипт, для того, что бы иметь хоть какое то представление, что искать.

Вы даже не представляли, что искать? Это многое объясняет. Но мне искренне жаль техподдержку. Вы ведь прочитали предыдущую переписку, об этом было написано в первом письме от них.

А вообще, это предложение как раз и характеризует мое отношение к вашей статье.

Вы подаете материал, как свою победу в маленькой войне, а на самом деле решили курсовую работу. Победа — это хорошо, но мне странно наблюдать за студентом, решившим задачу, уничижительно отзывающегося о других студентах, которые с задачей не справились.

Не минусовал, но соглашусь с большинством, что было бы хорошо, если в статье было больше технических деталей, не полного листинга но хоть части этих скриптов чтобы иметь представление. Так же не хватает описания решений и инструментов которыми вы пользовались. Новичкам бы это пригодилось.

Не раз обращались с аналогичными проблемами с сайтами на движках WP и Joomla. Обычно это случается из за использования варезных плагинов или чаще всего шаблонов в случае с WP. В одном случае был целый сервер у одного клиента, который был взломан а вместе с ним десяток сайтов на WP. Причем «взломщики» не стеснялись оставлять файлы с ссылками на свой форум. Последний раз это были «хакеры» из Турции что подтвердждали файлы с текстами на турецком и множественными запросами с турецких IP. Обычно в таких случаях использую давно зарекомендававший себя AI-Bolit, естественно ручного поиска это не отменяет. Главное найти общий почерк, сигнатуру и искать по аналоги по всем файлам на хостинге. В то же время очень много встречалось файлов у которых владельцом был root (взломанный) и права 777, названия схожие с системными папками движка но отличающимися некоторомы символами или цифрами в конце. Так как лечение проводил на территории клиента, решил скачать вче файлы на локальный компьютер и проводить лечение всех и сразу. На компе стоял антивирус NOD32 который при копировании файлов ругался на вирусы. Это стало еще дополнительным инструментом обнаружения и почти все файлы с внедренными скриптами в их теле были обнаружены. Оставшуюся часть скриптов внедренных и в системные файлы движка выявлял find и grep-ом в терминале. Так как файлов было очень много, во время лечения на сервере сайтов на каждом домене, через какое то время происходил повторный взлом раннее вылеченных сайтов. Поэтому лучше все лечить локально и все и сразу загружать на хостинг. После выявления и устранения отдельных файлов со скриптами и инъекций скриптов в системные файлы, были обновлены движки WP и плагины на которые имелись обновления (все они были довольно устаревшими). После лечения и обновления на каждом сайте с движком WP был установлен и настроен ninja firewall, который умеет защищать и мониторить изменения в файлах на сайтах и блокировать брутфорс и множественные частые запросы с IP. Естественно IP собранные из логов были забанены тоже. Были сменены все доступы и по возможности логины. Совместно с саппортом их сервера были приведены в порядок владельцы и права на все папки и файлы. Повторного заражения на данный момент (прошло более 10 месяцев) нет.

P. S. Как показал анализ IP, не все они были турецкими, были и немецкие и российские IP адреса множества хостинг провайдеров где вероятнее всего были размещены ранее взломанные сайты, через которых взламывались следующие сайты и сайты клиента в том числе.

Можно в git всё положить, сразу будет видно какие файлы изменены, и вернуть к исходному состоянию можно одной командой.