Вредоносный код в DLE

можно поиском по БД пройтись

в случае с форумами именно там чаще искать надо

PS Total ищет и по FTP

PS2 ставь в файлы брекпоинты типа echo "bb1";

на днях похожее было. нашел тут \engine\classes\js\menu.js

Получается, что для вывода вредоносного кода используется конструкция echo/print. Значит, нужно искать вредоносную функцию в PHP файлов, а для этого используйте функцию exit() или die(), чтобы быстрее найти её.

Идея такова:

1) добавьте exit; после включенного PHP файла и обновите страницу сайта;

2) если код не виден, удалите exit;, найдите следующего файла и повторите пункт #1;

В общем, нужно сделать это до тех пор пока не появиться вредоносный код. После этого, откройте и внимательно анализируйте файл.

Думаю, стоит начинать с файла init.php, после require ENGINE_DIR . '/modules/functions.php'; добавьте exit; — если появится вредоносный код, скорее всего код находиться в файле functions.php. Чтобы убедиться в этом, добавьте exit; перед require ENGINE_DIR . '/modules/functions.php'; и если больше не увидите код — 100% нужно анализировать functions.php. В противном случае, нужно искать файлы включенные ”выше”.

У меня папка js отсутствует

Ставил и ниже, и выше. В исходном коде код всё равно присутствует

„Ставил и ниже, и выше.”

Если я правильно понял, Вы добавили exit; только перед/после require ENGINE_DIR . '/modules/functions.php';. Правильно? Если да, обратите пожалуйста внимание на то, что нужно искать файлы включенные выше и добавить exit; после/перед ними (например, require_once ENGINE_DIR . '/classes/mysql.php')

Попробуйте добавить exit; в начале файла init.php — если опять-же увидите вредоносный код, значит Вы что-то делайте неправильно, либо (учитывая что Вы проверили файл index.php) — DLE тут не причём.

Нашел заразу, неужели!

Находилась в dbconfig.php, нашел после того, как поставил exit; после require_once ENGINE_DIR . '/data/dbconfig.php';

w0den, вы очень помогли, спасибо огромное за помощь.

Поздравляю.

Рад что смог помочь.

Кстати, анализируйте install.php — скорее всего вредоносный код попал в файле dbconfig.php при установке скрипта.

Интересно каким именно макаром эта гадина туда залила шэл

Вы уверены? На всякий случай максимально тщательно проверьте ваш комп на вирусы и трояны, примерно 90% случаев (возможно и больше) появления вредоносного кода в файлах это кража пароля от фтп.

Ну и пароль к фтп тоже проверьте, чтобы опять этот код не ловить.

Создайте в uploads/fotos и в uploads/files файл: .htaccess

В него запишите:

php_flag engine off

AddType  .php