Помощь Влом БД DLE 9.0 или уязвимость?

[davy]

Доброго времени суток!

Есть сайт на DLE 9.0 нуленый от MID. Работает уже года два. Устанавливал официальные заплатки. Недавно яндекс нашел на сайте вредоносный код. Начал искать как его удалить, нашел. В базе данных в таблице post в каждое поле короткой и полной записи в вперемешку с основым текстом были вставлены скрипты, обращающиеся к сайту kjdsfgjkdsfiki.ru. Восстановил базу, сменил все пароли (хостинг, админка, фтп и база) проверил файлы сайта и антивирусом.

Но через день строчки кода опять начали появляться. Причем такое ощущение, что они постоянно добавляются - сначала их штуки две-три, а потом разрастаются настолько, что сайт еле-еле грузится.

Кто-нибудь сталкивался с таким? Подскажите, что делать?

 

[dmx]

пароли в фтп не храни. и поищи трояна в компе.

 

[o_nix]

уязвимость в скрипте заливки картинок исправлял ??

там недостаточная фильтрация

можно типа залить не только картинку а и php файл а потом скачать его как свой собственный

таким образом можно получить содержимое файла конфига mysql

 

[davy]

Компьютер сканировал и штатным антивирусом и свежими сканерами от касперского и доктор вэба - ничего обнаружено не было. По поводу паролей Вы, наверное, правы. Но там еще с десяток сайтов на дле есть с паролями - на них проблем не наблюдается.

 

[davy]

уязвимость в скрипте заливки картинок исправлял ??

там недостаточная фильтрация

можно типа залить не только картинку а и php файл а потом скачать его как свой собственный

таким образом можно получить содержимое файла конфига mysql

Да, эту заплатку ставил.

 

[Sergo_Sev]

Тогда может стоит версию DLE обновить и еще раз для верности сменить ВСЕ пароли
У меня только старые версии двига и без заплаток так ломали

 

[dmx]

вариантов множество. посмотри как соседи на IP себя чувствуют. просканируй сайт на опасные функции - может найдёшь бэкдор или шелл.

 

[davy]

Да, если другого решения не найдется, видимо, придется обновиться..
<-------------- добавлено через 59 сек. -------------->

вариантов множество. посмотри как соседи на IP себя чувствуют. просканируй сайт на опасные функции - может найдёшь бэкдор или шелл.

Соседи нормально чувствуют. А как сканировать на опасные функции? Проверял файлы сайта только антивирусами...

 

[dmx]

заюзай айболит , я пользуюсь php nullifer.

 

[davy]

Проверил обеими программами - все чисто. Хотя в айболите многие файлы попали в подозрительные.

На соседнем сайте айболит нашел длинный зашифрованный файл: /engine/inc/include/init.php

Очень странная у него структура в одну строчку. Гляньте, кто в теме - все ли с ним в порядке. На том сайте дле 9.4 стоит чистая.