[Вопрос] Идет рассылка с сайта

[noggano77777]

Всем доброго времени суток и приятного дня.

С сайта идет постоянная рассылка. В день уходит от 1000 писем. Не могу понять где дыра. Вроде все обезопасил, но не пойму как делают рассылку с сайта

В статистики на хостинге видно что кулцхакер создает имейлы с моего домена и отправляет всем спам.

Подскажите куда плыть. Движок не вариант менять

[Serberg]

noggano77777, когда ЛС отправляется - идет уведомление на мыло ? Ограничение на отправку ЛС у юзеров есть ?

[noggano77777]

noggano77777, когда ЛС отправляется - идет уведомление на мыло ? Ограничение на отправку ЛС у юзеров есть ?

Юзер только один (Администратор)
Отсылается не в ЛС, а видимо как спам на почты в сети интернет.

[Serberg]

Отсылается не в ЛС, а видимо как спам на почты в сети интернет.

а тут что есть /var/log/mail ?

[Serberg]

И еще:

Стандартная форма контакта джумлы имеет поле "Отправить копию на адрес". Подставляешь туда любой адрес и спамо хостинг готов. Начал замечать такой способ рассылки около года назад.

[noggano77777]

а тут что есть /var/log/mail ?

Есть статистика на хостинге и логи там же. Если вы про это !?

И еще:

Это я читал. Только с джумлой я в первый раз и не чего не понял

[Serberg]

Есть статистика на хостинге и логи там же. Если вы про это !?

IP там указывается вроде. Он там один или много ?

[noggano77777]

Файлы ненужные нашел и шелл. Теперь как залатать дыру, что бы наверняка ?

[noggano77777]

По логам бот ломится по пути /administrator/components/com_weblinks/views/weblink/config.php При удалении config.php (спамер) файл заново поевляется. Поставил на папку weblink права 555 и в .htaccess прописал код:

<FilesMatch "\.([Pp][Hh][Pp]|[Cc][Gg][Ii]|[Pp][Ll]|[Ph][Hh][Tt][Mm][Ll])\.?.*">
Order allow,deny
Deny from all
</FilesMatch>

Думаю поможет. Но не понятно как он заливает файл config.php (спамер) в директорию /administrator/components/com_weblinks/views/weblink/

Движок не я ставил и не известно какие там подводные камни. Shell-а много было в шаблоне

[vada]

Я бы ещё посоветовал вообще ВСЕ доступы сменить: и в админку, и на ftp...