[Обзор]

Добрый день,

Рано или поздно все мы сталкиваемся с размещением вредоносного ПО на сайте: вирусов, троянов, шеллов или дорвеев. У меня у самого огромное количество проектов, и время от времени на них появляется это зло, поэтому я собрал базу сигнатур наиболее популярных скриптов и написал небольшой сканнер вредоносного ПО на сайте. Называется AI-Bolit. Возможно, вы уже слышали про него, или уже пользовались.

Страница проекта: http://revisium.com/ai/ - здесь можно скачать свежую версию. Периодически выходят обновления, обновляется база сигнатур, добавляются новые возможности и исправляются ошибки.

AI-Bolit умеет искать более 70 шеллов, троянов, вирусов, детектировать различные виды редиректов и дорвеев, запускаться из командной строки, отсылать отчет на почту и многое другое.

Буду рад замечаниям, предложениям, конструктивной критике, а еще я собираю зараженные файлы и рекомендации, как детектировать те или иные проблемы с сайтом. Высылайте их в виде запароленного .zip мне на почту (он указан на сайте).
Буду пополнять базу сигнатур присланными от вас данными.

Сразу хочу сказать, что я в курсе проблемы с ложным срабатыванием на некоторых файлах (в т.ч. и в движке vBulletin). Пока не придумал, что с этим делать, так как вирусы могут также использовать аналогичный код в тех же файлах, и было бы неправильно просто игнорировать файлы с ложными срабатываниями.

Спасибо за внимание.

gregzem, спасибо. Очень кстати, у нас как раз организован отдельный специальный раздел, посвящённый именно безопасности, так что тему переношу в него

Пробовал неделю назад этот скрипт, ничего не вышло - белая страница )

TAIFUN, скрипт отвалился по таймауту?
или сразу "белый лист"?

Originally Posted by TAIFUN

Пробовал неделю назад этот скрипт, ничего не вышло - белая страница )

Если сразу "белый лист", скорее всего на хостинге чего-то не хватает. У некоторых, например, до сих пор старая версия PHP, где нет функции stripos(). Нужно смотреть логи (error_log), либо, что проще, ВРЕМЕННО включить в .htaccess

php_flag display_errors on
php_value error_reporting 65535

запустить скрипт и посмотреть результат. Если опять белый лист - уже смотреть в error_log. Если и там ничего, спросить тех поддержку хостинга, в чем может быть причина (где-то все-равно результат должен отображаться, даже если он ошибочный).

Вторая проблема с белым листом - если он высвечивается секунд через 30 (стандартное время на выполнение php скриптов, запущенных под веб-сервером). Если оно истекло, скорее всего будет ошибка time exceeded, либо белый лист, если отключен error_reporting.

Я настоятельно рекомендую запускать скрипт из под командной строки, поскольку
1. вы избавляетесь от проблем со всякими там таймаутами и выключенными error_reporting
2. вы можете сразу направить отчет себе на email
3. можете запускать скрипт раз в сутки по Cron

kerk, по таймауту
gregzem, Спасибо. Попробую

Если что - по скрипту есть FAQ: http://www.revisium.com/ai/faq.php

gregzem, http://revisium.com/ai/others.php#partners
тут ссылка на саппортне правильная.
P.S. завтра на своих проектах попробую его.

Поправил ссылку

Мельком глянул скрипт.
Мне не понятно несколько моментов, например:
Переменная $g_DBShe имеет в себе конструкцию:
eval(base64_decode(.....))
и в запущенном скрипте она активна,
то есть получается, что сам скрипт обеспечения безопасности - имеет уязвимости, или бекдоры?