Как понять где вирус на сайте vipholland.ru

[eresik]

Сообщение от Anadonam

Сообщение от Yura1978 Посмотреть сообщение
Файл .htaccess есть - что там написано?
+1...

Смотри выше. Привели полный текст htaccess

Добавлено через 56 секунд
А вообще правильнее кому-нибудь из специалистов дать временный доступ по фтп, чем тут гадать.

[Anadonam]

eresik, да вон скрипт (вставку) вроде уже нашли - у меня такое (подобное) сидело в htaccess потому и...

[aljarru]

скрипт то дали, только как я уже сказала на сайте такой вставки нет. Я взяла фразу из htaccess эту фразу нахожу, а ссылку из того скрипта который дали не находит на сайте!
Перепроверяю еще раз, но увы...

[Shketus]

Проверьте какие скрипты в индексном файле подгружаются.

[eresik]

Не знаю как другим, а по мне - как-то непонятно вы изъясняетесь.

[Valentyn]

Сообщение от aljarru

Я проверила сайт Total Commander на эту фразу и сделала еще копию сайта на компьютер и тоже поискала- НЕТ такой фразы. Проверила работу поисковиков на фразах которые есть на сайте- находят. В этом и проблема- ссылка работает только по ссылке с гугла, а по ссылкам с яндекса, рекламы или прямым заходам, а также ссылкам с других сайтов все работает нормально
Такое впечатление, что проблема на Гугле

Да уж, на гугле.

Это js закодирован скорее всего.

[aljarru]

Мне дали ссылку "http://p3p0.com/?said=3333" я проверила функцией поиска через фтп в totaal commander- не нашла, сделала локальную копию сайта- проверила расширенным поиском windows- не нашла. Стала сомневаться, что правильно проверяю. Скопировала небольшой кусок текста из файла htaccess и стала искать этот текст теми же способоми, которыми искала раньше. Этот текст находится. Так что я думаю, что искала правильно

[10012003]

проверьте все файлы заканчивающиеся на .js
там будет вставка кода , у меня нечто подобное было

Добавлено через 2 минуты

Сообщение от aljarru

Этот текст находится

раз нашли значит надо удалить всю строку, так как я сомниваюсь, что этот сайт имеет к вашему какое то отношение

[Shketus]

ТС не дает доступ к фтп сайта. Гадать что и где находится на сайте можно только гадать.
Я нашел часть кода, который делает этот переход. (Там еще условия должны быть). Указал что нужно проверить JS. Проверить индексный файл, это значит открыть файл index.php и проверить какие скрипты в нем есть или подгружаются.
Ну или можно

проверьте все файлы заканчивающиеся на .js

Искать все файлы и просмотреть их. Хотя простую вставку так не найдет

[aljarru]

вот нашла, думаю, что это оно
<?php echo(base64_decode("PG5vc2NyaXB0PjxhIGhyZWY9aHR0cD ovL3Ntb2thei5jb20vbG9ydGFiLz5sb3J0YWI8L2E+PGEgaHJl Zj1odHRwOi8vd3d3LmZseWJhci5oci9uZXdzbGV0dGVyL2ZkaG ZnamhmZ2gucGhwP3Y9cHduMm93bj5wd24yb3duPC9hPiA8YSBo cmVmPWh0dHA6Ly93d3cuZmx5YmFyLmhyL25ld3NsZXR0ZXIvZm RoZmdqaGZnaC5waHA/dj15b3V0dWJlK2Rvd24+eW91dHViZSBkb3duPC9hPiA8YSBocm VmPWh0dHA6Ly93d3cuZmx5YmFyLmhyL25ld3NsZXR0ZXIvZmRo ZmdqaGZnaC5waHA/dj1yaWNoYXJkK2ZpbmNoPnJpY2hhcmQgZmluY2g8L2E+IDxhIG hyZWY9aHR0cDovL3d3dy5mbHliYXIuaHIvbmV3c2xldHRlci9m ZGhmZ2poZmdoLnBocD92PW1hbmlsYStlYXJ0aHF1YWtlPm1hbm lsYSBlYXJ0aHF1YWtlPC9hPiA8YSBocmVmPWh0dHA6Ly93d3cu Zmx5YmFyLmhyL25ld3NsZXR0ZXIvZmRoZmdqaGZnaC5waHA/dj1yb2JlcnQrY3VscCtkZWF0aD5yb2JlcnQgY3VscCBkZWF0aD wvYT4gPGEgaHJlZj1odHRwOi8vd3d3LmZseWJhci5oci9uZXdz bGV0dGVyL2ZkaGZnamhmZ2gucGhwP3Y9eW91dHViZSticm9hZG Nhc3QreW91cnNlbGY+eW91dHViZSBicm9hZGNhc3QgeW91cnNl bGY8L2E+IDxhIGhyZWY9aHR0cDovL3d3dy5mbHliYXIuaHIvbm V3c2xldHRlci9mZGhmZ2poZmdoLnBocD92PXlvdXR1YmUuY29t JTJGPnlvdXR1YmUuY29tLzwvYT4gPGEgaHJlZj1odHRwOi8vd3 d3LmZseWJhci5oci9uZXdzbGV0dGVyL2ZkaGZnamhmZ2gucGhw P3Y9eW91dHViZSttb3ZpZXM+eW91dHViZSBtb3ZpZXM8L2E+ID xhIGhyZWY9aHR0cDovL3d3dy5mbHliYXIuaHIvbmV3c2xldHRl ci9mZGhmZ2poZmdoLnBocD92PWRlbm5pcytob3BwZXI+ZGVubm lzIGhvcHBlcjwvYT4gPGEgaHJlZj1odHRwOi8vd3d3LmZseWJh ci5oci9uZXdzbGV0dGVyL2ZkaGZnamhmZ2gucGhwP3Y9eW91dH ViZSt1bmF2YWlsYWJsZT55b3V0dWJlIHVuYXZhaWxhYmxlPC9h PiA8YSBocmVmPWh0dHA6Ly93d3cuZmx5YmFyLmhyL25ld3NsZX R0ZXIvZmRoZmdqaGZnaC5waHA/dj15b3V0dWJlK211c2ljPnlvdXR1YmUgbXVzaWM8L2E+IDxhIG hyZWY9aHR0cDovL3d3dy5mbHliYXIuaHIvbmV3c2xldHRlci9m ZGhmZ2poZmdoLnBocD92PXRoZStzaG9ja2VyPnRoZSBzaG9ja2 VyPC9hPiA8YSBocmVmPWh0dHA6Ly93d3cuZmx5YmFyLmhyL25l d3NsZXR0ZXIvZmRoZmdqaGZnaC5waHA/dj1lYXJ0aHF1YWtlK3BoaWxpcHBpbmVzPmVhcnRocXVha2UgcG hpbGlwcGluZXM8L2E+IDxhIGhyZWY9aHR0cDovL3d3dy5mbHli YXIuaHIvbmV3c2xldHRlci9mZGhmZ2poZmdoLnBocD92PWNhcm 1lbit3aW5zdGVhZD5jYXJtZW4gd2luc3RlYWQ8L2E+IDxhIGhy ZWY9aHR0cDovL3d3dy5mbHliYXIuaHIvbmV3c2xldHRlci9mZG hmZ2poZmdoLnBocD92PWJ1c2grd2lwZXMraGFuZCtvbitjbGlu dG9uPmJ1c2ggd2lwZXMgaGFuZCBvbiBjbGludG9uPC9hPiA8YS BocmVmPWh0dHA6Ly93d3cuZmx5YmFyLmhyL25ld3NsZXR0ZXIv ZmRoZmdqaGZnaC5waHA/dj1sZWFubityaW1lcz5sZWFubiByaW1lczwvYT4gPGEgaHJlZj 1odHRwOi8vd3d3LmZseWJhci5oci9uZXdzbGV0dGVyL2ZkaGZn amhmZ2gucGhwP3Y9eW91dHViZStub3Qrd29ya2luZz55b3V0dW JlIG5vdCB3b3JraW5nPC9hPiA8YSBocmVmPWh0dHA6Ly93d3cu Zmx5YmFyLmhyL25ld3NsZXR0ZXIvZmRoZmdqaGZnaC5waHA/dj1tdXNpYyt2aWRlb3M+bXVzaWMgdmlkZW9zPC9hPiA8YSBocm VmPWh0dHA6Ly93d3cuZmx5YmFyLmhyL25ld3NsZXR0ZXIvZmRo ZmdqaGZnaC5waHA/dj1rYythbmQrdGhlK3N1bnNoaW5lK2JhbmQ+a2MgYW5kIHRoZS BzdW5zaGluZSBiYW5kPC9hPiA8YSBocmVmPWh0dHA6Ly93d3cu Zmx5YmFyLmhyL25ld3NsZXR0ZXIvZmRoZmdqaGZnaC5waHA/dj0lMkZzZWFyY2graGwrZW4rcStzaXRlK3d3dy55b3V0dWJlLm NvbSt5b3V0dWJlPi9zZWFyY2ggaGwgZW4gcSBzaXRlIHd3dy55 b3V0dWJlLmNvbSB5b3V0dWJlPC9hPiA8L25vc2NyaXB0Pg==") );?>