Лазил по файлам форума и заметил недавнее изменение файла index.php в начале файла было это.Удалил а оно через пару мин или хз через сколько появляеться заново,где копать?Изменяю уже несколько дней и постоянно меняеться обратно.Походу идёт какая-то проверка файла index.php или хз что.

****

шелл похоже
ищи в логах, откуда заливают

Это зашифрованный код, открой фтп и посмотри на дату изменения фаилов, проверь обязательно global.php, а так же vbulletin_global.js

TTR добавил 07.04.2013 в 14:31
Есть программы для автоматического поиска шелла на сервере если что

TTR добавил 07.04.2013 в 14:32
Так же теперь меняй пароль к бд, который указан в config.php и в базе данных тоже меняй

лень радисткой кэт работать
********

http://www.tareeinternet.com/scripts/decrypt.php

деобфусцированный код

PHP Code:

$date = date("d,m,z"); 
$ip = $_SERVER['REMOTE_ADDR']; 
if (!file_exists("date")) 
{ 
   mkdir("date",0777); 
}
$file = file_get_contents("date/$date.txt");
$ex = explode("|",$file);
if(!in_array("$ip",$ex))
{
    $a = fopen("date/$date.txt","a+");
    fwrite($a,$ip."|");
    fclose($a);
} 


ищи подозрительные папки/файлы на серваке

/includes/functions_bigthree.php/includes/functions_forumlist.php


проверь так же, и быстрее найди фаил шелла и удали, все папки посмотри по дате изменения, а потом сделай то что написал выше про пароль, далее ищи способ, как залили шелл на фтп, какая версия форума и какие хаки стоят?

Originally Posted by Anonymous

лень радисткой кэт работать
********
http://www.tareeinternet.com/scripts/decrypt.php

Да хз как ней пользоваться.

Palamar добавил 07.04.2013 в 15:56
kerk, интересно как могут все файлы index.php сразу после того как я их отредактировал,возвращаться обратно.

Originally Posted by Palamar

Да хз как ней пользоваться.

kerk уже все сказал. осталось подумать и сделать. или не думать и не делать.

Originally Posted by Palamar

сразу после того как я их отредактировал,возвращаться

это страшная тайна великого вампира. лучше так об этом думать, если подумать о вышесказанном не получается

если "возвращается", смотри так же все модули от всех хаков
может быть в них есть код, который прописывает эту хрень
чаще всего это модули от vbseo

kerk, на сервере не только булка есть разные движки DLE wordpress и т.д и везде в index.php этот код,при удалении появляеться снова,пипец.