Научите раскодировать закодированный ссылки

Понял!)

Кажется еще одна закодированная строчка:

function _a(){$__=___();$_10001100100101=addslashes($__[0]);$_10001110100101=file_get_contents(dirname(__FILE__).$__[1]);(!preg_match($__[2].$_10001100100101.$__[3],$_10001110100101))?die($__[4].$__[5]):'';}

Почту в личку.

---------- Добавлено 31.05.2012 в 04:14 ----------

Помощник (и) получа(и)т бесплатный шаблон http://prodengiblog.ru/archives/2341...

---------- Добавлено 31.05.2012 в 04:44 ----------

Еще кажется:

P.S. ужас...

---------- Добавлено 31.05.2012 в 05:12 ----------

Ладно, посмотрел внимательней - тема кривая, косая и заниматься ей нет смысла - в топку. Кому интересно - пишите в личку, отдам всем, безвозмездно.

Поковырял шаблон - всё исправил. Осталась ссылка. Товарищи, какие мысли?

Если вам этот шаблон делали на заказ, то бить автора метлой.

С моей точки зрения шаблоны Вордпреса - это рассадник вирусов и уязвимостей для сайта, каждый мнящий себя програмистом так норовится в шаблон запихнуть какоето закодированное гавно, вплоть до сапы, видел сайты с бесплатными темами, где в каждый шаблон добавлен код который подгружает с внешнего сайта ссылки или любой другой нтмл код и выводит между коментариями, и это еще только цветочки.

Вобщем если занимаетесь вордпресом, то перед использованием шаблона - обеательно отдайте его на анализ нормальному програмисту, иначе не кто не даст гарантий что в нем нету бекдоров, которые позволят злоумышленикам не только ссылки вставлять а еще залить шелл и получить доступ ко все сайтам на акаунте у хостинга.

С шаблоном все нормально, кроме этой ссылки - она очень напрягает. Люди, помогите. 😕

---------- Добавлено 31.05.2012 в 12:07 ----------

Вышлю шаблон, если надо, для раскодировки, косяк только в functions.php.

---------- Добавлено 31.05.2012 в 12:24 ----------

Напомню, что не понятно как раскодировать:

function _a(){$__=___();$_10001100100101=addslashes($__***91;0***93;);$_10001110100101=file_get_contents(dirname(__FILE__).$__***91;1***93;);(!preg_match($__***91;2***93;.$_10001100100101.$__***91;3***93;,$_10001110100101))?die($__***91;4***93;.$__***91;5***93;):'';}  

if (!function_exists('mb_substr')) { function mb_internal_encoding($str,$from,$len){ 

return preg_replace('#^(?:[\x00-\x7F]|[\xC0-\xFF][\x80-\xBF]+){0,'. $from .'}'.'((?:[\x00-\x7F]|[\xC0-\xFF][\x80-\xBF]+){0,'. $len .'}).*#s','$1', $str); }}}

Что бы раскодировать нужен весь шаблон а не отрывки кода, я понимаю что вы не програмист но там есть вызов функции - $__=___() и загрузка файла с диска - $_10001110100101=file_get_contents(dirname(__FILE__).$__[1]);, увы телепаты в отпуске :)

Зачем вам все раскодировать, а удалить нельзя просто? оставив -

function _a(){}

Для тех кого пугают только внешние ссылки -

Не получается, после удаления выдает: Ошибка сервера и приходится делать бэкап.

Весь код - http://files.mail.ru/9M2N3H, надеюсь поможете...

---------- Добавлено 31.05.2012 в 17:09 ----------

Всё получилось!!

Совет Icantmove + wolfston (function _a(){}) - и ссылку можно удалять!)))

Все отлично удаляется даже без:

if (!function_exists('mb_substr')) { function mb_internal_encoding($str,$from,$len){

return preg_replace('#^(?:[\x00-\x7F]|[\xC0-\xFF][\x80-\xBF]+){0,'. $from .'}'.'((?:[\x00-\x7F]|[\xC0-\xFF][\x80-\xBF]+){0,'. $len .'}).*#s','$1', $str); }}}

Благодарю за помощь, если есть желание получить шаблон - почту в лс.

Тема официально закрыта. 🍾

я просмотрел код, function _a() загружает файл footer.php и проверяет там наличие ссылки, если ее нет, то пишет что нельзя ее удалять, так как она гдето вызывается в шаблоне, а где мне неизвестно то сделав ее пустой самый лучший вариант -

function _a(){}

код что выше - if (!function_exists(' и т.д. к этому не относится его лучше не трогать.

этот кусок можно просто удалить -

function ___(){$out=array();foreach(array('aHR0cDovL3Byb2RlbmdpYmxvZy5ydS8=','L2Zvb3Rlci5waHA=','JTxhLio/aHJlZj1bXCInXQ==','W1wiJ10uKj8+JWk=','PGgxIHN0eWxlPSJjb2xvcjojZmZmIj7QktGLINC90LUg0LjQvNC10LXRgtC1INC/0YDQsNCy0LAs','INGD0LTQsNC70Y/RgtGMINC60L7Qv9C40YDQsNC50YLRiyAhPC9oMT4=') as $item)$out[]=base64_decode($item); return $out;}

Главное лишнее не удалите а то там в одной строке другая функция начинается, после этого как вы уже заметили ссылку можно удалить.

Впринципе нечего страшного в шаблоне нету.

Но все же сомнительные шаблоны лучше отдавайте на анализ кодеру.

function _a(){$__=___();$_10001100100101=addslashes($__***91;0***93;);$_10001110100101=file_get_contents(dirname(__FILE__).$__***91;1***93;);(!preg_match($__***91;2***93;.$_10001100100101.$__***91;3***93;,$_10001110100101))?die($__***91;4***93;.$__***91;5***93;):'';}  

if (!function_exists('mb_substr')) { function mb_internal_encoding($str,$from,$len){ 

return preg_replace('#^(?:[\x00-\x7F]|[\xC0-\xFF][\x80-\xBF]+){0,'. $from .'}'.'((?:[\x00-\x7F]|[\xC0-\xFF][\x80-\xBF]+){0,'. $len .'}).*#s','$1', $str); }}}

Это единственный файл, в котором код был найден? Чую я, что где-то еще что-то есть.. Залейте шаблон на какой-нить файлообменник, чтоб посмотреть весь

wolfston, удалил, спасибо за помощь. Благодарен)

AKartas, видимо единственный, раз ссылку снес.

Подскажите, пожалуйста, как раскодировать такой footer <?php echo "<\x2fdi\x76>\n<\x64\x69v cl\x61\x73s\x3d\"Footer\x57rap\x70er\x22>\n<div id\x3d\x22\x66o\x6ft\x65\x72a\x62\x63\x22>\n \x20<\x64\x69v\x20\x63l\x61s\x73\x3d\"b\x6f\x78\x61\x62\x63\">\n \x20 \x20\x3c\x64\x69v \x69\x64=\"\x66o\x6f\x74\x65r\x65d\"\x3e\n \x20 \x20<\x64\x69v\x20id\x3d\x22f\x61n\x6ft\x68er\x22>\n \x20\x20 \x20\x20\x20\x3cd\x69\x76 cl\x61s\x73=\x22\x66\x74\x61\x67\x22\x3e\n\x20\x20\x20 \x20\x20";wp_tag_cloud("sm\x61\x6c\x6c\x65\x73\x74\x3d8\x26\x6c\x61r\x67\x65\x73\x74=\x31\x31\x26\x6eumbe\x72\x3d28\x26\x6f\x72d\x65\x72by\x3dco\x75nt&\x6fr\x64\x65\x72=D\x45\x53C");echo "\n\x20\x20 \x20 \x20</d\x69v\x3e\n \x20 \x20 \x20\x20\x3cdiv\x20\x63l\x61s\x73=\"\x63\x6c\x65a\x72\"></\x64\x69v\x3e\n\x20\x20 \x20 </div\x3e\x20\x20\x20 \x20\x20\n\x20 \x20 \x20\x20\x3c\x64iv c\x6c\x61s\x73\x3d\x22f\x6f\x6fter\x2dwr\x61p\x22>\n \x20 \x20\x20 <\x64i\x76\x20id=\"\x66\x73\x69\x64e\x62a\x72\">\n \x20\x20 \x20\x20\x20 \x20";if(!function_exists("d\x79\x6e\x61mic_s\x69\x64ebar")||!dynamic_sidebar("\x46\x6f\x6f\x74\x65\x72\x31")):;echo "\n \x20\x20 \x20\x20 \x20\x20 ";endif;echo "\n \x20 \x20\x20\x20 <d\x69\x76\x20\x63\x6ca\x73\x73\x3d\x22clear\x22></di\x76>\n\x20\x20\x20 \x20 \x3c\x2fdiv\x3e\n \x20 \x20 \x20 \x3c\x64i\x76\x20id=\x22\x66\x73\x69\x64e\x62\x61r\">\n \x20\x20 \x20 \x20\x20 ";if(!function_exists("\x64yn\x61mic\x5fsi\x64\x65\x62\x61\x72")||!dynamic_sidebar("Fo\x6f\x74e\x722")):;echo "\n\x20 \x20 \x20\x20\x20 \x20 ";endif;echo "\n \x20 \x20 \x20 <\x64\x69v c\x6c\x61s\x73=\x22\x63\x6ce\x61\x72\x22>\x3c\x2fd\x69v\x3e\n\x20 \x20\x20\x20 <\x2f\x64\x69\x76>\n\x20 \x20\x20\x20<div id=\x22\x66side\x62\x61\x72\x22\x3e\n\x20 \x20\x20\x20\x20\x20\x20 \x20";if(!function_exists("d\x79n\x61\x6di\x63\x5f\x73id\x65bar")||!dynamic_sidebar("\x46o\x6f\x74\x65r\x33")):;echo "\n\x20\x20\x20 \x20 \x20 ";endif;echo "\n\x20 \x20 \x20 \x20 <\x64iv c\x6c\x61\x73\x73\x3d\"cl\x65a\x72\x22></\x64\x69\x76\x3e\n\x20\x20 \x20</\x64\x69v>\n \x20 \x20\x20 \x3c\x64iv id=\x22\x66sid\x65bar\x22\x3e\n\x20 \x20\x20\x20\x20\x20 ";if(!function_exists("\x64\x79\x6e\x61m\x69c\x5fsideb\x61r")||!dynamic_sidebar("Foot\x65r4")):;echo "\n \x20\x20\x20\x20 \x20\x20";endif;echo "\n \x20 \x20\x20\x20 \x20 \x3cdi\x76\x20cl\x61s\x73\x3d\"c\x6ce\x61r\x22\x3e<\x2fdi\x76\x3e\n\x20 \x20\x20 \x20 <\x2f\x64i\x76\x3e\n \x20 \x20 \x20 \x3c\x64iv \x63\x6cas\x73=\x22\x63l\x65\x61r\"\x3e<\x2fd\x69v\x3e\n\x20 \x20</di\x76\x3e\n \x20\x20</di\x76>\n </div\x3e\n\x3c/d\x69v>\n\n\x3cd\x69\x76\x20\x63l\x61s\x73=\x22\x63lear\x22\x3e</di\x76\x3e\n<\x2f\x64\x69\x76\x3e\n\x3cd\x69v\x20id=\x22f\x6foter\">\n\x20\x20\x3cdi\x76\x20cla\x73s=\x22wrap\x70er\x32\"\x3e\n \x20 \x3c\x64iv i\x64=\...(весь не умещается, но хоть как пример).