Вирус на сайте cms dle

чтобы не повторяться /ru/forum/comment/11312347

Посмотрите на Drupal. Все, что есть в DLE можно реализовать на нем. Также можно перенести все материалы и пользователей (несколько способов). Безопасен, там дыры если и находят, то делают это раньше, чем ими успевают воспользоваться злоумышлиники.

Вобщем такая штука оказалась:

Сначала каким-то раком был залит код основной файл админки.

Когда кто-либо заходил в админку выполнялся код, который создавал несколько шелов на сайте, поэтому при удалении шелов они появлялись заново даже без участия взломщика...

Проверьте у себя на сайте файл admin.php...

как вариант последить за изменением файлов:

http://sitesdata.ru/php-script-kontrola-failov.htm

http://www.webchicklet.com/tools/monitorhackdfiles-tool-helps-fight-site-hackers/

http://dle-news.ru/modules/1058-zeos-antivirus.html

Спасибо, написал в ЛС! :)

С этим файлом все хорошо, без изменений.

Вот это узнать, конечно, было бы полезно.

А вообще, есть какой либо список вредоносных файлов на серверах?

Что бы тупо по поиску поискать и удалить при возможности.

Деяние массовое. Интересно сколько шеллер заработал на наших сайтов уже..)

P.S сайт заблокировал dr.web пока сам шел не могу найти. антивирусник от dle не видит ничего подозрительного.

к тем файлам что здесь писали посмотрите dle_js.js у меня там он сидел ещё.

Извести заразу не получится, т.к. всегда будут искать все новые и новые дырки!

Можно отвадить, кому интересно - присоединяйтесь - /ru/forum/767338

Всего зараженных файлов 6 - 8 штук.

Быть может кому то пригодится.

Нашел у себя в:

index.php, engine.php, dle_js.js, config.php, dbconfig.php,

У некоторых слышал что даже в: addcomments.php, search.php.

Щас глянул, тоже есть такая байда.

Самый оптимальный вариант изменить урл сайт на который редиректит, на свой сайт..

А еще лучше удалить тупо header('Location: http://s**.ws/');

header('Location: http://statuses.ws/');

мужики ка пройтись с помощью SSH и удалить в файлах эту строку?

Я думаю что тут пароли не причем. взломано автоматом на всех сайтах.

Где то есть дырище которая позволяет такое делать.

В логах нашел /user/dreannerara/

такой папки нет на серваке.

9.6 вродьбы нету заразы

9.5 Есть зараза.

ПРи этом файлы сайтов лежат рядом на разных акках.

Заражены

файлы dbconfig.php config.php init.php engine.php в двух местах файла.

в корне Index.php

Щас попробую найти тупой по адресу сайта таким макаром

find /home \( -regex '.*\.php$' -o -regex '.*\.cgi$' \) -print0 | xargs -0 egrep -il "statuses.ws *force" > 1shell.txt