Скрипт для поиска шеллов и другого вредоносного по

Это значит на вашем хостинге у каталога, в который положили скрипт, нет прав на чтение. Сделайте chmod +r для корневого каталога, либо у скрипта поставьте владельца того же, что и у каталога.

---------- Добавлено 09.04.2012 в 10:57 ----------

Какая у вас версия php?

gregzem, Было бы не плохо, в случае появления на сайте подозрительного файла, на почту админа приходило письмо-уведомление.

Права поставил, теперь открывается белая страница :(

Что-то, видимо, не то поменяли. Я смогу помочь, если будет FTP доступ.

---------- Добавлено 09.04.2012 в 12:23 ----------

В перспективе так и планировалось. Но это уже другого класса скрипт. Чуть серьезнее )

Очень ждем..

Вопрос такой, как правильно поставить его на дедик так, чтобы просмотрел всю папку www (сайтов около 70-ти)?

Я обычно пользовался шельником find + grep + mail по крону, преимуществ в реализации http не вижу.

Тем не менее большой респект за сигнатуры ! где вы их насобирали

---------- Добавлено 09.04.2012 в 16:48 ----------

да еще, я при помощи find выбирал файлы за время прошедшее с последней проверки , т.е. файлов проверяется значительно меньше, предлагаю предусмотреть вариант инкрементальной и полной проверки.

Может и я криво смотрел, но вот часть из того что не увидел у Вас: http://rghost.ru/37490877

По поводу типизации, вот картинка - http://rghost.ru/37490941 - откройте ее в текстовом редакторе точнее с помощью текстового редактора и посмотрите. О дальнейших действиях в целях безопасности рассказывать не буду, но тот кто понимает что с этим можно сделать, тот сделает и без меня.

Так вот собственно вопрос был в том - какие расширения файлов проверяет ваш скрипт? Опять же не увидел этого.

Надо положить на уровень выше www, зайти по ssh, запустить его из командной строки

php ai-bolit.php > result.html

и посмотреть что получится.

---------- Добавлено 09.04.2012 в 14:27 ----------

По сусекам поскреб ) У меня много клиентских сайтов оказывается с шеллами были. Оттуда много навыгребал.

Да добрые люди помогли, подогнали несколько новых буквально на прошлой неделе.

Это все здорово, но конкретно этот скрипт проектировался как маленький и удаленький, самодостаточный и не требующий никакого хранилища. Конечно, можно реализовать и инкрементальную проверку (с сохранением предыдущих результатов) и отправку на email, и запуск по cron'у. Наверное, я все это сделаю, но чуть позже, и это будет отдельный скрипт.

---------- Добавлено 09.04.2012 в 15:11 ----------

Спасибо за архивчик. Добавил сигнатуры, обновил архив со скриптом http://revisium.com/ai/.

Про типизацию: по-умолчанию сканируются только .php*/.tpl/.inc/.htm*. Но если в скрипте поставить константу define('SCAN_ALL_FILES', 0); - будут анализироваться все файлы (включая картинок). Ваш .jpg файл тоже найдется.

Тестировал сегодня этот скрипт на взломанной джумле, причём судя по количеству шеллов, их разновидности, и дате загрузки, взломанной не один раз - айболит показал себя на твёрдую четвёрку с плюсом :) gregzem спасибо.

Четвёрка, потому что не нашёл он FilesMan. Точнее, он его определил как потенциально опасный, но вот шеллом не назвал. Однако его же, но немного в другом исполнении нашёл.

Вот такой он увидел:

<?php
/*здесь идёт длинная закоментированная 
текстовая фигня, типа какого нибудь лицензионного
соглашения, или сказка А. С Пушкина */

!isset($_GET['check']) or die('OK');

$auth_pass = "4c56fdad8c8ccfb8ec62c74283ea9334";
$color = "#df5";
$default_action = 'FilesMan';
$default_use_ajax = true;
$default_charset = 'Windows-1251';
preg_replace("/.*/e","\x65\ блаблаблаP8C '\x29\x29\x29\x3B",".");?>

А вот такой нет:

<?php
/*здесь идёт длинная закоментированная 
текстовая фигня, типа какого нибудь лицензионного
соглашения, или сказка А. С Пушкина */

$auth_pass = "0a606b5b2966e150ea3c928e301a6506";
$color = "#df5";
$default_action = 'FilesMan';
$default_use_ajax = true;
$default_charset = 'Windows-1251';
preg_replace("/.*/e","\x65\x76\x блаблабла '\x29\x29\x29\x3B",".");?>

Хотя я смотрю вы его ещё не добавили. Походу что то совпало, там где у меня "блабла". А он довольно часто встречается

При попытке запуска скрипта появляется сообщение об ошибке:

Fatal error: Call to undefined function: scandir() in /home/***/public_html/ai-bolit.php on line 217

Версия PHP 5.2.17