Взломали сайт/хостинг.

Поступил клиент. Взломали сайт. Добавили рекламу на все страницы. Сайт на joomla 2.5.6.

Подумал в начале на то, что в шаблон добавили в конец блок рекламы.

   <div style="text-align: center;"><div style="position:relative; top:0; 
   margin-right:auto;margin-left:auto;   z-index:99999">
   <center><script type="text/javascript"><!--
    google_ad_client = "ca-pub-0661283001157252";
    /* 60ru.com 234*60 */
    google_ad_slot = "7636161232";
    google_ad_width = 234;
    google_ad_height = 60;
    //-->
    </script>
    <script type="text/javascript"
    src="http://pagead2.googlesyndication.com/pagead/show_ads.js">
    </script></center>
   </div>

Отключи в Firefox через noScript скрипты. Посмотрел результат. Добавляется реклама. Значит идет запись не посредством скрипта.

Смотрю в шаблон - тоже все чисто.

Плюнул, копирнул сайт к себе.

Поискал по содержимому всему show_ads. Нет результата.

Поискал base64_decode. 40 файлов. Но все на своих местах.

Загрузил joomla c http://joomlaportal.ru/downloads/joomla/Joomla_2.5.6-Stable-Full_Package.tar.gz. Распаковал.

Взял WinMerge(есть еще http://meldmerge.org/). И натравил на корневые папки. Видим везде отличается. Ну что ж. Топаем в настройки WinMerge = Сравнение = Основные и ставим галку "Игнорировать различия в возврате каретки".

F5. И ура. Видим, что по главным папкам includes, libraries отличий нет. Заглаянул в plugins. Тоже нет. Ну ладно. Значит что....

Кхм. Ну может это не joomla? Сделал пустую страницу html. Загрузил на сайт. Да тихо. Добавил теги по стандарту и закрывающий тег </html> .

Оооооо блин. Реклама появилась. Это оно. Значит беда у хостера. Мне от панели ключей не давали. Вообщем дальше отправил разбираться с хостером.

А товарищ-клиент гугля рекламы ca-pub-0661283001157252 негодяй.

Поискал на яндексе и гугле по этому коду и нашел еще два сайта с такой же бедой. Пока не нашел, что же они там в настройках сервера хостера могли написать такого, что за тегом </html> шел какой-то свой код (видимо любой можно присоединить).