Как проверить сайт на Joomla
на уязвимости и бэкдоры
Вредоносный код может жить на сайте месяцами и не проявляться. С 2009 года мы проводим аудиты безопасности и знаем: 80 % заражений обнаруживают случайно. Разбираем, как найти уязвимости, скрытые бэкдоры и подозрительные файлы — с чек-листом.
Чек-лист
Что проверяем в аудите
☑️ Файлы ядра. Сравнение с чистой сборкой Joomla 6 — поиск модификаций.
☑️ Расширения. Проверка плагинов и модулей на вредоносный код. Особенно — legacy-расширений.
☑️ .htaccess. Скрытые редиректы, правила RewriteRule по User-Agent.
☑️ База данных. Подозрительные записи в #__content, #__users, #__extensions.
☑️ Файлы в /tmp, /cache, /images. Скрытые PHP-скрипты — классика заражения.
☑️ Cron-задачи. Скрытые рассылки, бэкдоры через планировщик.
☑️ Права доступа. Подозрительные 777 на файлах и папках.
☑️ Логи сервера. Попытки входа, странные запросы, POST на непонятные файлы.
Кейс · ГТРК «Брянск»
Федеральное медиа: нашли бэкдор до последствий
Задача: ГТРК «Брянск» (Россия 1) — новостной портал на Joomla 6. Внешне всё работало нормально — сайт открывался, посты публиковались. Но у сервера был повышенный исходящий трафик, а хостинг предупредил о подозрительной активности. Редакция инициировала аудит безопасности.
Что сделали: сравнили файлы ядра с чистой сборкой — нашли 3 изменённых файла. Обнаружили бэкдор в /plugins/system/ — маскировался под системный плагин. В cron-задачах нашли скрытый скрипт рассылки. В #__users — подозрительного пользователя с правами администратора, созданного в 3 часа ночи.
Результат: бэкдор удалён до того, как его успели использовать для массовой атаки. Пользователь-злоумышленник удалён. Обновлены все пароли и ядро. Настроен firewall и мониторинг. За 8 месяцев — ни одной попытки повторного заражения.
Вопросы и ответы
Про цены и сроки
Сколько стоит аудит безопасности?
Стоимость зависит от задач проекта — назовём после аудита. Считаем смету по составу работ: фиксируем в договоре.
Сколько занимает по срокам?
Отвечаем в течение рабочего дня. Стандартный аудит — 1–3 рабочих дня. Для больших порталов с расширениями — до недели.
Как часто проводить?
Раз в полгода или после подозрительных событий. Плюс — плановый аудит перед крупными обновлениями.
Что после аудита?
Даём отчёт с найденными проблемами и рекомендациями. Если нужно — сразу чистим и защищаем. Бесплатный аудит — оценим проект без обязательств.
Закажите аудит безопасности
Проведём диагностику, найдём уязвимости, дадим рекомендации. Первый аудит — бесплатный. Пришлём расчёт в течение 1 рабочего дня.
Закажите аудит →
Messenger Max