Патч Бармина всегда хорошо справлялся.

virustotal попробуй. Предыдущий комментатор неспешной тролль, не слушай его.

clamav уже не катируется?

онлайн-сервис сканера локальной файловой системы на вирусы на пэхепе…
да по вам мил сударь шнобелевская премия плачет :)

Не локальной файловой системы вообще-то. И вообще-то есть такие сервисы для сканирования сайтов на вирусы.

Просто есть такие сайты, где сканируеш на вирусы, вирусов 0, но google ADS всё равно пишет что на вашем сайте вредоносное ПО, и разместить рекламу не даёт.

папку с сайтом

у виндузятника даже одна звезда, хотя даже пыхпых сайт у него в папке. Линуксоидов тут нет есть гибридные винликсоиды с 5 звездами. Лор он такой лор.

Нормального такого сервиса не существует. Для десктопного софта собирают базы, сканер разной пхп заразы - вещь сильно нишевая. Удали и накати свежие скрипты.

Даже у гугла бывают ложные срабатывания. У меня такое было несколько раз - решалось просто указанием в вебмастере что я принял меры.

Только grep и find. По статистике 99.9% php-шеллов не детектятся AV-движками, и это факт.

Вот, как пример https://www.virustotal.com/gui/file/5da30f4e2bcba87f3d0d4e5507853d6ccf27306b9...

Попробуй через clamav просканить.

Надо не на вирусы сканировать, а на соответствие дереву исходников и отсутствие всего лишнего. Есть файл, которого не должно быть или какой-то файл изменён – значит что-то не так.

Действительно, глупости какие пишет. Ты чем сервису какому-то непонятному доступ к серверу давать, лучше нам сюда IP и логин\пароль рутовый дай, мы просканируем всем лором. Так надёжней будет.

virustotal попробуй. Предыдущий комментатор неспешной тролль, не слушай его.

Ничего не надо сканировать. Никто ничего не найдёт. Надо снести всё и накатить бекап. У тебя есть бекап? Нет? Ты в жопе, поздравляю.

И вообще-то есть такие сервисы для сканирования сайтов на вирусы.

Лохотрон.

Просто есть такие сайты, где сканируеш на вирусы, вирусов 0, но google ADS всё равно пишет что на вашем сайте вредоносное ПО

С сцайта спамили/делали какую-то херню и он засветился у гугла. Всё, приехал, чёрная метка.

clamav

Какой clamav, лол? Инъекции будешь им искать?

И вообще-то есть такие сервисы для сканирования сайтов на вирусы.

Надо опасаться за вирусы после сканирования такими сервисами.

Надо не на вирусы сканировать, а на соответствие дереву исходников и отсутствие всего лишнего. Есть файл, которого не должно быть или какой-то файл изменён – значит что-то не так.

+100 Ровно тоже хотел написать.

просканировать папку

Открывая тему, я уже по заголовку знал, что сюда прибежали анонимусы с мамками. Но сейчас к ним даже регистрант присоединился.

По теме. Ты же понимаешь, что PHP: 1) интерпретируемый язык; 2) вызов PHP веб-сервером ограничен таймаутом? Оба пункта для продолжительной задачи, которой является сканирование ФС — очень весёлые. А если вызывать не веб-сервером, то PHP теряет смысл. Обычный антивирус на обычном языке.

Для статических сайтов лучше всего контролировать целостность, как написали выше. Когда у меня сайт подцепил зловреда на джаваскрипте, он дописывал куски своего кода прямо в тело страниц. Такое выявляется легко.

Вот как со всякими вордпрессами и джумлами — я не знаю. Там же контент добавляется пользователями…

Кстати, товарищ с бэкапом, пусть и в гротескной форме, но тоже дело говорит. Вне зависимости от того, что и чем ты будешь сканировать, бэкапы нужны.

Когда у меня сайт подцепил зловреда на джаваскрипте

Как такое возможно?

В общем случае это лучше спрашивать у специалистов по уязвимостям, я к таковым не отношусь. Там дохрена интересных вариантов.
Но конкретно в моём случае, вероятно, виноват пролюбленный пароль от SSH (к счастью, не рутовый, но чтобы записать гадость внутрь файлов страниц, рут и не нужен). По крайней мере, после смены пароля прошло три года, больше зловреды не шевелились. Пришлось писать во всякие спам-базы, чтобы меня оттуда вычеркнули (и то похоже, что вычеркнули не отовсюду).

Линуксоидов тут нет есть гибридные винликсоиды

Вот щас обидно было.

и зря. между прочим лучшие вирусы - на npm)))

да по вам мил сударь шнобелевская премия плачет :)

Премия Дарвина для сисадмина.

Надо снести всё и накатить бекап.
У тебя есть бекап?
Нет?
Ты в жопе, поздравляю.

У тебя есть бекап?
Да.
Накатил бэкап, немного подождал...
Ты опять в жопе, поздравляю.

Ты опять в жопе, поздравляю.

Чоэта?

Как такое возможно?

Подобрали пароль а админке, заюзали скриптом очередную дыру с выполнением кода в самой популярной (или не очень) цмс. Обделались админы на шаред хостинге. Для пхп - масса вариантов.

find /path/to/site -name "*.php" -delete должно помочь.

Чоэта?

1. Дырявая CMS, модули и т.д. Вам повторно зальют шелл.

2. Ваш бэкап уже с шеллами.

Для WP есть Wordfence, справляется на ура. Насчет жумлы хз.

Дырявая CMS, модули и т.д. Вам повторно зальют шелл.

Ну так восстанавливаешь и ставишь обновления.

Ваш бэкап уже с шеллами

Значит это - говноархив раз в неделю с затиранием всего, что было n мес. назад, а не нормальный накопительный бекап.

Подобрали пароль а админке, заюзали скриптом очередную дыру с выполнением кода в самой популярной (или не очень) цмс. Обделались админы на шаред хостинге. Для пхп - масса вариантов.

Перечисленные варианты встречаются только у ПХП что-ли?

Потому что тебе не вирусы надо искать, а внедрённые java-script'ы, XSS, дырки в плагинах и прочие уязвимости.

Гугли что-нибудь типа «scan site for vulnerabilities». Например, что-нибудь типа такого: https://geekflare.com/online-scan-website-security-vulnerabilities/

Я когда давно встречал оффлайновые утилиты для такого, но они все стоили много денег.

В общем, оставь слово вирусы в венде, ищи уязвимости.

В коде какой-нибудь формы ввода сайта/плагина разработчики забыли сделать валидацию, злоумышленник вбил туда однострочник, который прописался в код шаблона сайта куда-нить в дебри footer'а и теперь выполняется каждый раз на каждой странице твоего файла.

Или точно так же где-то не сделали проверку загружаемых файлов и вместо картинки к тебе пришёл скрипт, который выполняется каждый раз, когда кто-то обращается кэтой картинке, а потом уже делает всё, что хочет.

Или в какой-нибудь плагин, модуль яваскрипта или пхп внедрили вредоносный код, которой прозевали мантейнеры и это прилитело к тебе с обновлением.

Разнообразные sql-injections.

Это самые простые и очевидные способы, которым уже сто лет в обед, но всё-равно регулярно выскакивают новости о новых подобных косяках. На самом деле этих способов огромное количество.

Если уже залезли - то бекапы, поиск типовых ошибок по базам(выше я писал), но это тоже не панацея.

Варианты предотвращения: держать весь код сайта в readonly, выделив отдельную директорию для загружаемого контента и запретив запуск чего бы то ни было из этой директории; следить за обновлениями, подписаться на рассылку и ченджлоги используемых CMS; регулярные инкрементные бекапы, чтобы откатиться можно было не на условную вчерашнюю версию, потому как не всегда известно, когда сайт был взломан и возможно в бекапе уже сидит зловред; настроить систему мониторинга на анализ активности(ну, например, чаще всего со среднестатистического сайта не может быть исходящих коннектов - т.е. если мы увидим в мониторинге от пользователя www-data коннект на подозрительный адрес, нужно как минимум увидеть это в варнингах). И это тоже далеко не полный список.

Это не вирусы.

Вот именно. Дырка-то никуда не делась.

Ты опять в жопе, поздравляю.

Чоэта?

А почему бы нет? Точнее странным будет если такого не случиться.

Подобрали пароль а админке, заюзали скриптом очередную дыру с выполнением кода в самой популярной (или не очень) цмс. Обделались админы на шаред хостинге. Для пхп - масса вариантов.

Перечисленные варианты встречаются только у ПХП что-ли?

Ну у брэйнфака они встречаются однозначно реже.

Значит это - говноархив раз в неделю с затиранием всего, что было n мес. назад, а не нормальный накопительный бекап.

Злоумышленники не будут спешить, подождут пока он попадет во все накопительные бэкапы. Как правило так и бывает.

а зачем бекапить код. Он заливается с девелоперской версии.

ну да.
я забыл, как называется эта фигня, когда пользователь добровольно ставит браузер амига в продакшен-сервер?)

Кода, да. А данные?

это типа когда вместо картинки скрипт? Ну да. По всей видимости нужна верификация данных.

это типа когда вместо картинки скрипт?

Нет, это «типа когда» ваш сайт не голая статика (под статикой в данном случае я подразумеваю не изменяемость).

Так изменяются данные , которые в БД. Как туда зловред подсунуть не разбираясь в схеме данных?

cd /var/www | perl -e ‘$??s:;s:s;;$?::s;;=]=>%-{<-|}<&|{;;y; -/:-@[-{-};`-{/" -;;s;;$_;see’

Так речь в топике о готовых движках.

Злоумышленники не будут спешить, подождут пока он попадет во все накопительные бэкапы. Как правило так и бывает.

И что? Спалится же со своими изменениями и вылезет на diff'е в любом случае. Если на сцайте 2 года никаких работ не делали, то там будет только он.

Скажи свое «экспертное мнение» о:

1. https://www.rfxn.com/projects/linux-malware-detect/

https://rfxn.com/downloads/rfxn.hdb

https://rfxn.com/downloads/rfxn.ndb

https://rfxn.com/downloads/rfxn.yara

2. https://malware.expert/signatures/ (теперь платный)

И самое важное в этой теме:

1. Антивирусником проверяем только изменяемые данные!!!

2. Папка с неизменяемыми скриптами PHP сканируется универсальным Антивирусником от всех возможных вирусов - diff:

diff -aurN /path/to/PHP_original /path/to/PHP

Результат сканирования лучшим антивирусником всех времен diff отсылайте на https://www.virustotal.com так пополнятся базы сигнатур.

Задачка на проверку ЛОРа.

Лор он такой лор.

Написать Антивирусник, на 2 строки кода, который по запросу ловит и лечит все старые, новые и будущие вирусы для неизменяемого каталога используя его оригинальную версию и утилиты diff & patch.