Один из моих сайтов взломали. Поставили iframes в конец html и php файлов. Ума не приложу как это могло произойти при наличии фаервола, антивируса и скрытности. Хорошо что только один поломали сайт.

Поменял пароли на хостинге.
Ищу скрипт, который бы удалял бы дописки.

PHP скрипт, который уничтожает гадость из всех файлов

 get_dirs("..");



function get_dirs($dir){
    global $dirs;

    $nome=0;
    if (!isset($dirs)){$dirs = '';}
    if(substr($dir,-1) !== '/'){$dir .= '/';}
    echo $dir;
    if ($handle = opendir($dir)){
        while (false !== ($file = readdir($handle))){
            if (filetype($dir.$file) === 'dir' && $file != "." && $file != ".."){
                clearstatcache();
                $dirs .= $file . "\n";
                echo "<hr><b>$dir"."$file</b>";
                get_dirs($dir . $file);
            }
            else {
            if ($file == "." || $file == "..") continue;
            if ((strpos($file, ".ht") == 0) and (strpos($file, ".php") == 0)) continue;
            //echo "<br>$dir"."$file";

                check_file($dir . $file);

            }
        }
        closedir($handle);
    }
    return $dirs;
}


function check_file($file_name){
    $replace1 = array(
                     'то, что нужно убрать пиши здесь' => '',
                     '123' => '',
                     '234' => '',
                     '567' => '',
                    );
    $arr_text = file($file_name);

    $flag=0;
    for ($jj=0; $jj<count($arr_text); $jj ++ ){
        $str = $arr_text[$jj];

        //echo "$str";

        $i1 = strpos($str, 'iframe src="http://thekapita.com/lib/index.php' );
        $i2 = strpos($str, 'то, что нужно убрать пиши здесь' );
//        $i3 = strpos($str, ' tewtewtwet' );
//        $i4 = strpos($str, ' tewtewtwet' );
//        $i5 = strpos($str, ' tewtewtwet' );
//        $i6 = strpos($str, ' tewtewtwet' );
//        $i7 = strpos($str, ' tewtewtwet' );
//        $i8 = strpos($str, ' tewtewtwet' );
//        $i9 = strpos($str, ' tewtewtwet' );
//        $i10 = strpos($str, ' tewtewtwet' );
//        $i11 = strpos($str, ' tewtewtwet' );
//        $i12 = strpos($str, ' tewtewtwet' );
//        $i13 = strpos($str, ' tewtewtwet' );
        if (($i1 == 0) and ($i2 == 0) and ($i3 == 0) and ($i4 == 0) and ($i5 == 0) and ($i6 == 0) and ($i7 == 0) and ($i8 == 0) and ($i9 == 0) and ($i10 == 0) and ($i11 == 0) and ($i12 == 0) and ($i13 == 0)) continue;

        echo "<br><font color=red> find keyword <b>$file_name </font></b>";

        $str = strtr($str, $replace1);
        $arr_text[$jj] =  $str;
        $flag++;
        if ( $flag >0 )     break;
    }

//return;
    if ($flag == 0 ) return;

    echo "<br> replace <b>$file_name </b>";
    $filePoinr_w=fopen($file_name,"w");
    for ($jj=0; $jj<count($arr_text); $jj++){
            fwrite($filePoinr_w,$arr_text[$jj]);
    }
    fclose($filePoinr_w);
    //return;

}

Вероятно это был троян вирус - win32/Kryptik. CH и червь Win32/Pinit, которые добавляют скрытый iframe.

При препечатке ссылка обязательна sm100

This entry was posted on Вторник, Январь 26th, 2010 at 16:09 and is filed under PHP&Flash, Размышления. You can follow any responses to this entry through the RSS 2.0 feed. You can leave a response, or trackback from your own site.