• Введите и запомните пароль, состоящий из латинских букв и цифр, длиной не менее 10 символов.
• Подтвердите его в поле Пароль еще раз.
• Задайте Ключевое слово, отличное от пароля, и запомните его.



• Нажмите кнопку Далее.

Если вы не ошиблись при подтверждении пароля, то отобразится сообщение об успешном подписании скрипта.

Теперь можно приступать к сбору информации по файлам, чтобы в дальнейшем выполнить проверку целостности системы.

• На закладке Выбор действия отметьте опцию Собрать информацию по файлам:



• Нажмите кнопку Далее. Откроется форма сбора данных.



• Задайте параметры для сбора информации:
  • Область сбора данных – отметьте необходимые для обработки папки системы.
  • Расширения файлов – укажите расширения файлов, по которым должна быть собрана информация. Расширения файлов указываются через запятую без пробелов. По умолчанию информация собирается для файлов с расширениями php, js, htaccess.
  • Пароль для шифрования – введите и запомните пароль, который будет использоваться для шифрования и последующего дешифрования собранного верификационного файла.
  • Время выполнения шага – укажите количество секунд для выполнения одного шага сбора данных.
• Нажмите кнопку Далее. Начнется процесс сбора данных, по окончании которого в целях безопасности рекомендуется скачать файл с данными на локальный компьютер.

Файл с верификационными данными собран, теперь можно выполнить проверку целостности системы.

При любом (кроме первого) запуске проверки целостности системы сначала проверяется сам скрипт контроля на наличие в нем изменений.

• Введите пароль, которым вы подписали скрипт контроля, и нажмите кнопку Далее.

В сообщении о результатах проверки скрипт должен указать кодовое слово, которое вы ввели в момент подписания.

• На закладке Выбор действия отметьте опцию Проверить файлы.



• Нажмите кнопку Далее. Откроется форма выбора файла с верификационными данными.



• Выберите один из лог-файлов, хранящихся в системе, либо загрузите лог-файл с вашего компьютера с помощью кнопки Обзор. Откроется форма проверки данных.



• В поле Пароль для дешифрования укажите пароль, который вы задавали при создании файла с верификационными данными.
• Укажите время выполнения одного шага проверки (чем меньше время выполнения одного шага, тем больше нагрузка на сервер).
• Нажмите кнопку Далее. Начнется процесс проверки целостности системы, по окончании которого будет выведен отчет:

Работа веб-антивируса основана на эвристическом анализе потенциально опасных блоков в HTML-коде. В целом распознавание "вирусных" и легитимных блоков может быть сложной задачей даже для человека, а не только для программы.

Ключевое отличие блоков, действительно содержащих ссылки на вирусы, от ложных срабатываний — это то, что ошибочно принятые за вирус блоки были явно добавлены вашим программистом. Кто добавил "вирусные" блоки и откуда они взялись, вы не знаете.

Если вы уверены, что блок, на который срабатывает веб-антивирус, легитимный и не содержит ссылки на загрузку вирусов, то данное срабатывание антивируса является ложным. В этом случае вам необходимо взять некоторую строку из этого блока (достаточно длинную и достаточно уникальную) и добавить ее в исключения веб-антивируса на одноименной вкладке страницы Веб-антивирус. В результате антивирус перестанет срабатывать на любые обрабатываемые им блоки, содержащие указанную строку.

Маска исключений должна быть достаточно уникальной, но при этом покрывать все блоки данного типа (если они генерируются динамически). Вероятность того, что при добавлении достаточно длинной строки (содержащей, например, имена нормальных переменных или функций из корректного блока) случайно будет разрешен вирус, невелика.

Если срабатывание антивируса не ложное, то все будет намного сложнее. Удалить обнаруженный код — дело несложное. Нужно понять, как он оказался на вашем сайте. Почти со стопроцентной уверенностью можно утверждать, что "вирусный" блок был помещен злоумышленником с помощью пароля, похищенного через компьютер какого-либо сотрудника, имеющего доступ на сервер через FTP (SSH, SFTP и т. п.). Этот компьютер заражен вирусом, укравшим пароль от сервера.

• необходимо проверить все компьютеры людей, имеющих доступ к сайту (в том числе к Панели администрирования), с помощью персонального антивирусного программного обеспечения;
• после того как все такие компьютеры были вылечены, нужно сменить все пароли от вашего сервера всем пользователям;
• только после этого можно вычищать весь сторонний код на сервере. При вычищении кода обратите внимание на сроки обнаружения заражения и сроки создания резервной копии (бэкапа) сайта. Если по каким-то причинам резервное копирование делалось после даты заражения, бэкапом пользоваться нельзя.

Для отслеживания изменившихся файлов рекомендуется использовать инструмент Контроль целостности. Если же вы не используете данный инструмент, то в общем случае поиск всех изменений, оставленных хакером, может быть таким:

• поиск по всем файлам на сервере, содержащем строки из блока, на который сработал веб-антивирус;
• поиск и ручная проверка всех недавно изменившихся файлов;
• анализ логов HTTP-сервера.

При этом остается надеяться, что хакер оказался не слишком хитрым, ограничился внедрением JavaScript со ссылками на вирус и не оставил за собой скрытых бэкдоров (что, в общем-то, бывает достаточно редко).