Скрипт для поиска шеллов и другого вредоносного по

TF-Studio
На сайте с 17.08.2010
Offline
334
#21

Товарищ, а можно сделать как-то по-другому?

Так чтобы можно его было запускать по крону и сохранять где-то результаты (или на почту).

Цены бы не было тогда )

Всё ещё лучший способ заработка для белых сайтов: GoGetLinks (https://www.gogetlinks.net/?inv=fahbn8).
neonlabs
На сайте с 21.07.2011
Offline
105
#22
angelmarket:
При попытке запуска скрипта появляется сообщение об ошибке:

Fatal error: Call to undefined function: scandir() in /home/***/public_html/ai-bolit.php on line 217

Версия PHP 5.2.17

Аналогичная ошибка выскакивает.

Версия PHP 5.2.6-1+lenny13

Выполняю заявки GoGetLinks, Miralinks, Rotapost за 30 рублей под ключ
kismedia
На сайте с 30.09.2010
Offline
12
#23

Очень полезный скрипт.

Огромное спасибо Вам Григорий!

Нашел среди подозрительных файлов действительно "левый" код.

На хост в течении продолжительного времени заливали шелл.

Шелл WSO для экспиремента попробовал залил сам, просканил - скрипт его обнаружил.

Единственная проблема - последняя версия выдает ошибку:

Скрипт не вернул результата в требуемое время.
Возможно хост, к которому обращается скрипт не отвечает

Это можно исправить или у меня на хосте прописыватиь лимит на выполнение сценария.

gregzem
На сайте с 22.11.2004
Offline
134
#24
WebGomel:
Тестировал сегодня этот скрипт на взломанной джумле, причём судя по количеству шеллов, их разновидности, и дате загрузки, взломанной не один раз - айболит показал себя на твёрдую четвёрку с плюсом :) gregzem спасибо.

Четвёрка, потому что не нашёл он FilesMan. Точнее, он его определил как потенциально опасный, но вот шеллом не назвал. Однако его же, но немного в другом исполнении нашёл.
...

Спасибо за комментарии. Нужно понимать, что все возможные варианты и сигнатуры собрать физически нереально. Любой шелл можно обфусцировать бесконечное кол-во раз. Уверен, кто профессионально ломают сайты, как раз так и делают - шифруют для каждого нового сайта новым способом. И найти такой обфусцированный вариант можно единственным способом - с помощью эвристики. Я анализирую base64 кодированные последовательности и стандартные функции, типа eval(), base64_decode(), gzipinflate().

Естественно, нельзя 100% гарантировать, что эти функции не встретятся в CMS или других скриптах, поэтому скрипт при обнаружении не кричит про шеллы, а уравновешенно предупреждает о том, что в файле подозрительный код. А уже ответственность админа сайта сходить и проверить, что там. В большинстве случаев там действительно оказывается какая-нибудь "нечисть".

---------- Добавлено 10.04.2012 в 06:38 ----------

TF-Studio:
Товарищ, а можно сделать как-то по-другому?
Так чтобы можно его было запускать по крону и сохранять где-то результаты (или на почту).
Цены бы не было тогда )

Товарищ, ага :)

По-другом сделать можно, причем мое участие здесь не нужно. Я писал об этом уже выше:

/usr/bin/php ai-bolit.php > result.html
^^^^^ путь до вашего интерпретатора, где там у вас он установлен

Запускать можно раз в сутки по крону - будет сваливать в файл result.html (пути там правильные указать и все будет хорошо).

В кроне можно настроить, чтобы он результат отработки скрипта присылал на почту. Будет вам как раз отчет на мыло.

---------- Добавлено 10.04.2012 в 06:40 ----------

kismedia:
Очень полезный скрипт.
...
Единственная проблема - последняя версия выдает ошибку:
Скрипт не вернул результата в требуемое время.
Возможно хост, к которому обращается скрипт не отвечает

Это можно исправить или у меня на хосте прописыватиь лимит на выполнение сценария.

Или ставьте лимит на время выполнения скрипта минут 20 (на время запуска ai-bolit.php), или

(так предпочтительнее) запускайте из командной строки через ssh.



---------- Добавлено 10.04.2012 в 06:41 ----------

neonlabs:
Аналогичная ошибка выскакивает.
Версия PHP 5.2.6-1+lenny13

Я добавил проверку на "scandir" в новую версию скрипта. Если функции нет - работать не будет. В перспективе, наверное, переделаю на обычные opedir, readdir. Может кто знает, почему функции scandir на некоторых хостингах нет?

Антивирус для ISPmanager (https://revisium.com/ru/products/antivirus_for_ispmanager/) | Антивирус для Plesk (https://plesk.revisium.com) | Профессиональное лечение и защита сайтов (https://revisium.com/)
Хортица
На сайте с 22.12.2006
Offline
289
#25
gregzem:
Может кто знает, почему функции scandir на некоторых хостингах нет?

Банально закрыта в php.ini

Еще если будете дорабатывать продукт до коммерческой версии правильным ходом будет вариант просмотра ОТКУДА прилетел шел и прочая нечисть. Если надо - подскажу в привате ;)

Надеюсь все пользователи скрипта понимают, что убирая шел, Вы не решаете проблему.

На XBit.Money (https://xbit.money/?rid=111) меняю крипту на гривны. Лучшие курсы Обмен Вашего PayPal/ЯД/QIWI/WebMoney и куча плюшек! Рекомендую (https://exchangex.ru/index.php?who=26749)
N
На сайте с 28.03.2006
Offline
130
#26

Однозначно полезный и нужный скрипт, добавил в избранное. Спасибо автору! :)

Карманный флудер
На сайте с 17.11.2006
Offline
95
#27

504 Gateway Time-out

на старой версии айболита не было

Тексты заказываю тут (http://text.ru/bestbuy)
[Удален]
#28

Спасибо за скрипт, на первом же проверенном сайте нашёл шелл =) Кстати вот этот:

Хортица:
Не вижу в коде проверки одного из самых популярных шелов Web shell by ORB.
Олег Ветров
На сайте с 03.04.2012
Offline
1
#29

Огромное спасибо автору. Проверил этим скриптом свой сайт и ужаснулся сколько там вредоносного по. Вопрос: Это вредоносное ПО удалить просто? И еще , может подскажите как в админку джумлы войти, если выдает ошибку 403. Переюзал все форумы , перепробовал множество вариантов и нифига. выдает ошибку 403(доступ закрыт). Можно конечно все с нуля начать но.... Жалко трудов .

[Удален]
#30
nasloy:
И еще , может подскажите как в админку джумлы войти

а зачем вам админка? ))

ну если шибко нада - бекап, если пароль не забыли

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий