Новая тема   Ответить

 andreich
соосбтвенно сабж, заразили все файлы на домене

все файлы где есть в начале <?php, начинаются так
Код:

как бы через SSH запустить командочку чтобы она прошлась по всем директориям и файлам и убилабы нахрен этот

eval(base64_decode("троян

неселён я в этом

Спасибо

Последний раз редактировалось: andreich (30/01/13 в 01:37), всего редактировалось 1 раз

 shako
подобную проблему недавно решил дримьвевером
подключил фпт акк как сайт - синхронизировал с локальным компом ( за одно и бэкап себе сделал), дальше автозамена средствами дримвьевера и залитие всех новых файлов на сервер.
правда шелла у меня небыло

 Дартаньян
andreich: до чего дерзкие дети пошли, открытым eval...
по сабжу найду баш скрипт скину.

 Alexandur
http://www.google.ru/search?q=grep+eval(base64
->
http://devilsworkshop.org/tutorial/remove-evalbase64decode-maliciou…ver/55587/

 Дартаньян
gimcnuk: это сработает, вот только что с делать с апсурдофецироваными шелами без евала?

 Alexandur
Дартаньян: вопрос был в удалении евалов.

 Дартаньян
gimcnuk: все правильно, просто развиваю тему.

 andreich
вообщем короче налабал мне кореш строчку, но он с Фряхой не особо дружит

получилось следующее

find / -name \*php | tar -C / -czf /phphfiles.backup.tgz -T -
find / -name \*php -exec sed -i 's/eval(base64_decode("вирусня));//' \{\} \;

кто подравит, что бы во фряхе работало

Последний раз редактировалось: andreich (30/01/13 в 11:53), всего редактировалось 1 раз

 andreich
победил нахрен эту ебатень

 Дартаньян
andreich: теперь квест, найди как похакали.

 andreich
Дартаньян:
файло remove
#!/bin/sh
cat $1 > /home/u311400/domen.ru/www/tmpremoveeval
sed 's/eval(base64_decode("тут продолжение трояна........' /home/u311400/domen.ru/www/tmpremoveeval > $1
запускаем
find /home/u311400/domen.ru/www/ -name \*php -exec /home/u311400/domen.ru/www/removeeval.sh \{\} \;

потом на всякий пожарный делаем еще
find . -name '*.php' -print -exec grep JF8wMDBPPUF {} \; >shells1.txt

смотрим что там в shell.txt

 andreich
билять вроде код убил в топике, а KIS ругается падла