[Patryk]

Drogie mirki
na #hosting w----ł mi się #wirus w #php
Takie coś, (dokleja w pierwszej linii do WSZYSTKICH plików php
http://pastebin.com/Rz4TNhzV Znalezienie źródła to jedno.
Teraz priorytetem jest wyczyszczenie tego śmiecia

W notepad ++ powiedzmy, że udało mi się zrobić regułkę #regex która powiedzmy, że potrafi to wyczyścić z otwartych plików. Nie widzi mi się jednak pobieranie i otwieranie kilkudziesięciu tys plików php na hostingu
Pomoże ktoś i poratuje skryptem w php lub #bash #linux co zaora cały hosting i wyczyści?

Wszędzie jest identyczny kod. Nie radzę sobie w zasadzie ze znakami specjalnymi i wildcardami w regexach ;(

Pomoże ktoś?

[J.....k]

@Patryk: priorytetem nie powinno być właśnie znalezienie źródła? Wyczyścisz i znowu wróci. Może zamiast jechać skryptem to po prostu przywróć pliki strony z backupu. Masz dostęp do takiego?

[sylwke3100]

@Patryk: Masz Crona?

[webh]

@Patryk: Jeśli ogarniasz notepad++ to wystarczy, że pobierzesz cała zawartość konta, wybierzesz opcję zamień, wkleisz "zły" fragment, a następnie wybierzesz folder w którym pobrałeś zawartość konta - jest tam opcja zamiany we wszystkich plikach w folderze - ekspresowo wyczyści Ci wszystkie pliki ze złośliwego kodu.

Jeśli jednak chcesz bawić się w skrypty i oprogramowanie na serwerze, polecam lekturę: http://stackoverflow.com/questions/28317990/website-hacked-how-to-remove-malicious-code-with-sed-grep

A tu masz fajny skrypt, który ładnie ogarnia: https://github.com/daniyalahmadk/RMCI

[Patryk]

@JakisTakiNick: Backup również już zawirusowany. chce wyczyscic zeby nie zablokowali i miec czas na znalezienie

@sylwke3100: mam crona

[sylwke3100]

@Patryk: To od tego zacznij

[Patryk]

@webh: podziękował za skrypcik, choć wolałbym taki, co przejedzie po całym hostingu.
patent z n++ nie do końca

Otwieram i podmieniam - taką regułką jadę bo cały kod po wklejeniu się nie podmienia. zbyt długi jest chyba

\$dfwzrpzd \= (.*)

(dalej nie wiem jak inne znaki specjalne jak np "złapać" php ?

[webh]

@Patryk: jeśli w tym kodzie który chcesz zamieniać są nowe linie to pamiętaj o tym, żeby zmienić tryb na rozszerzony (nie regex) i wpisywać \r\n lub samo \n tam gdzie jest nowa linia

jeśli zaś jesteś w stanie skopiować i wkleić cały kod do pola "szukaj" i nie ma on nowych linii wybierz tryb "normalny"

jeśli wybierzesz tryb regex i wkleisz coś co zawiera znaki specjalne to mogą się dziać

[Patryk]

@webh: Ja wiem jak używać n++ w trybie normalnym po prostu po wklejeniu kodu (jedna linijka, bez łamaczy linii!!) nie usuwało wszystkiego. Tak jakby zbyt krótkie pole na treść było (bo kodu jest na jakieś 8kb) - stąd myśl o regex

[Patryk]

@webh: tak jak przypuszczałem - timeouty. Stąd myśl o skrypcie w bashu.

[januzi]

@Patryk: Podmieniasz u siebie na kompie, czy na serwerze? Jak na serwerze, to pierwsza rzecz do zrobienia: deny from all. Priorytetowo. Niech się strona nie wyświetla ludziom i, przede wszystkim, niech nie aktywują się kopie wirusa. Inaczej będzie się duplikować jak dziki.

Po drugie, jeśli to jakiś gotowiec (wordpress, joomla, drupal), to poszukaj wtyczki, która tak naprawdę jest panelem od wirusa. Do tego shelle udające pliki css i/lub obrazki, shelle

[Jurigag]

na #hosting w----ł mi się #wirus w #php

@Patryk: sam z siebie by się nie w----ł xD

[m.....5]

@Patryk: grep + sed i usuniesz całość.

[Patryk]

@mati75: Ja wiem, że grep+sed. Ja nie wiem jak to łapie się regexem.