Скрипт для поиска шеллов и другого вредоносного по

Я думаю угроза исходит от модуля комментов в контакте на вашем сайте.

Лично я не имею к сайту ТСа никакого отношения.

В остальном всё верно - на Гвконтат и реагирует твой АВГ.

+100500 :)

Да вот, выдал анализ, действительно, многие из подозрительных файлов обычные плагины - капча, например, ему не нравится.

Но вот в папке /images/ нашел .php его там быть не должно.

И почему-то опять ему не нравится пресловутый timthumb , а ведь он уже сто раз у меня заменен на безопасный и уже на самую последнюю версию только что обновлен

/wp-content/themes/mimbo2.2/scripts/phpThumb/phpthumb.functions.php

=> $value) { $DisabledFunctions[trim($value)] = 'global'; } if (@|ini_get('safe_mode')) { $DisabledFunctions['shell_exec'] = 'local';

Скрипт анализирует подозрительные вхождения, которые часто используются в шеллах. Например, ini_get('safe_mode'). Поэтому и подозревает.

На хостинге все время возникали проблемы..

То зальют троянов, то пропишут редерикт, то еще какая то ерунда.

Что только не делали, ничего не помогало. Через несколько часов редерикты снова были на месте.

Обратился за помощью к Григорию. Он сначала тоже не мог понять, как это получается, но...

Он помог решить проблему!!! Спасибо ему огромное.

Оказывается это была дыра в самом хостинге. После его советов, инструкций и моего общения с админами хостинга дыру залатали.

Григорий, спасибо еще раз.

после запуска скрипта сервер отдает "Ошибка 324 (net::ERR_EMPTY_RESPONSE): Сервер разорвал соединение, не отправив данные.", в чем дело не подскажите?

Попробуйте отключить антивирус. Говорят, из-за него.

Fedora стоит, нет антивиря

Изменения в версии 20120622

- появился список игнорируемых файлов .aignore

- добавлена возможность просмотра файла

- добавлены сигнатуры шеллов

- есть возможность скрыть в отчете показ директории открытых на запись

- в подозрительные добавлены подстроки, появляющиеся в обфусцированных скриптах

- добавлена проверка на наличие хакерских тулзов для FreeBSD

- несколько багфиксов

Теперь можно ткнуть в имя файла и посмотреть его полное содержимое.

А еще в этой версии я все-таки решил реализовать список игнорируемых файлов (по фрагменту имени и контрольной сумме). Можно вручную создать файл .aignore и положить в него

фрагмент имени файла1<табуляция>контрльная сумма1

фрагмент имени файла2<табуляция>контрльная сумма2

...

А можно просто кликать по значениям столбца CRC32, а потом внизу скопировать из формы содержимое в файл. Если вам надоело наблюдать длинный список ложносрабатываемых файлов из джумлы, tinyMCE или друпала, просто создайте свой собственный .aignore и положите его рядом с ai-bolit.php.

Качаем свежую версию http://revisium.com/ai/ с обновленными сигнатурами.

Скоро сделаю еще много полезных фишек в скрипте. Следите за апдейтами.

/* Меня по-прежнему можно отблагодарить в любой удобной для вас форме :) */

16.06.2012 без моего ведома на сайте появился файл ai.php - скрипт этого автора. ТС как он мог появится? объясните