Как написать регулярку на замену вставки вредного кода?

Question

[Yuri Kalnin]

Есть код:

<?php eval(base64_decode('ZWNobyBmaWxlX2dldF9jb250ZW50cygiaHR0cDovL215ZnJlZXdlYmRvbWFpbi50ay9tLnBocCIpOw==')); ?><?php









/*
 * This file is part of MODX Revolution.
 *
 * Copyright (c) MODX, LLC. All Rights Reserved.
 *
 * For the full copyright and license information, please view the LICENSE
 * file that was distributed with this source code.
 */
/**
 * Initializes the modx manager
 *
 * @package modx
 * @subpackage manager
 */
@include dirname(__FILE__) . '/config.core.php';
if (!defined('MODX_CORE_PATH')) define('MODX_CORE_PATH', dirname(dirname(__FILE__)) . '/core/');

/* define this as true in another entry file, then include this file to simply access the API
 * without executing the MODX request handler */
if (!defined('MODX_API_MODE')) {
    define('MODX_API_MODE', false);
}

/* check for correct version of php */
$php_ver_comp = version_compare(phpversion(),'5.3.3');
if ($php_ver_comp < 0) {
    die('Wrong php version! You\'re using PHP version "'.phpversion().'", and MODX Revolution only works on 5.3.3 or higher.');
}

надо регуляркой вытащить из него этот код:

<?php eval(base64_decode('ZWNobyBmaWxlX2dldF9jb250ZW50cygiaHR0cDovL215ZnJlZXdlYmRvbWFpbi50ay9tLnBocCIpOw==')); ?>

помогите написать такое выражение или может есть готовые скрипты какие нибудь для этого?

Comments

[dollar]

Лучше найти дыру в сайте.
Сегодня один вирус, завтра другой. К каждому будете костыль придумывать?

[Yuri Kalnin]

dollar, я и дыру найду, мне код почистить надо. руками неохота

[dollar]

Yuri Kalnin,
проще отключить eval совсем, через php.ini (disable_functions)

[Yuri Kalnin]

dollar, так и сделаю, кажется накалякал что то.

(\<\?php\ eval\(base64_decode\(')+(\n*\r*[\\\r\n<>="'\+\-:\w\s\/\.\?\,\&;]*)+(\)\); \?\>)

а какие еще способы есть защиты? где дыры искать можно? если права на файлы сделаю на файлы меньше норм?

Answer 1

[vitaly_74]

Добрый день попробуйте: "/eval(.*);/"
везде удалит функцию eval