Услуга. Очистка сайтов от JavaScript вирусов, попап-рекламы и прочей ереси.

Сегодня чистил сайту одному клиенту данной услуги и наткнулся на интересный рут-кит.

Каждый без проблем сможет определить есть ли на его сайте рут-кит или нет. Просто проверьте есть ли файл с такими строками: "eval(base64_decode(". Без кавычек, понятно. Или еще лучше проверьте по маске: eval(.*decode(.*)).

Если файл с такими строками у вас есть, то это на 90% руткит ;)

Это необязательно может быть руткит, а просто скрытый код разработчиков любого приложения, который обратим, и если нужно, нормально декодируется, нормальные руткиты так не определить. И как правило они на компе пользователя сидят, и скрывают какой то процесс, который в свою очередь работает на фпт.

Поэтому я и сказал, что в 90% случаев это руткит, а не в 100%. Хотя я и как разработчик могу с сказать, что при кодинге PHP можно обойтись без eval(.*decode.

Особенно заметным подобный вид руткита стает если он находится в папке с картинками или чем-то подобным.

По поводу процесса. Ну это уже совсем взрослые руткиты, которые в систему продираются. А тут принцип был простой. Пробили пароль на фтп, залили свои http руткиты, а потом через них прописались во все, что только можно.

Чуть уточню картинку, поскольку являюсь именно этим клиентом.

Даная строка была (по словам hi_jack ) была практически у всех файлах на трех сайтах, что размещены в одном Акке на хостинге. Сайты разных исполнителей. В то-же время, на двух других Аккайнтах на том-же хостинге подобных проблем не заметно, несмотря, что сайты "близняшки" от тех-же продавцов есть и там. Так-же, абсолютно одинаково использую доступ к всем трем Акка.

Действительно, похоже на то, что пробили пароль на фтп.

Доброго дня. Сегодня пришли письма с Я.Вебмастер, что на трех сайтах, которые были инфицированные- вирусов не обнаружено. Значит, проблемка действительно была в вышеуказанном руткит.

ТС-спасибо.

ТС, выручил с чисткой сайтов на сервере.

Спасибо. :) Рекомендую, купить скрипт.

От себя добавлю, то это шняга в 90% паблик-шаблонах для КСМ (ВП, Джумла и тд). И простое вырезание кода - 50% гарантия неработоспособности шаблонов.

Так что с таким видом "защиты авторских прав" нужно быть осмотрительней.

такие авторские права снимаются за 1 минуту со 100% работоспособностью шаблона

Да снимаются, не вопрос ;) (точнее - не столько авторские права, сколько кодированные элементы. Это не всегда авторские права)

Речь в контексте темы: закодированный код далеко не всегда есть руткит. И избавляться от него нужно с умом (простое вырезание - не всегда правильное решение).

Когда вирус записывается в какой-либо файл на сайте, то в 99% случаев он просто тупо куда-то копирует код и все. Никакого кодирования.

И еще больше скажу. Почистил уже порядка 60 сайтов, но еще ни разу не видел, чтобы после вырезания что-то не работало. Было пару проблем, но они были связаны с изменением прав доступа к файлу или папке, но не с содержимым файла.