Onderwerp: Hoe dezelfde code in meerdere PHP-bestanden/mappen vervangen met bv. een spatie?

Hoi,

Probleem.

Hebben maldet/clamav draaien maar scant dus lang niet alles. Gevolg: een van onze servers vol met encode 64 zooi.

Weet iemand of heeft iemand een script of tool om meerdere php bestanden in meerdere mappen te scannen en meerdere regels met code (dezelfde code in alle PHP bestanden) te vervangen met bv een "spatie "..?

Thanks,
Gerard.

Zoiets:

Code:

grep -lr --include=*.php "eval(base64_decode" /home/user/ | xargs sed -i.bak 's/eval(base64_decode[^;]*;/\n/g'

Zorg ook zelf voor een backup.
De regel hier boven maakt ook een backup van de files.

Bedankt voor je bericht Dennis.. Maar deze haalt niet alle regels weg toch, toch alleen de code?

PS: hij geeft de melding geen input files..

Hoe bedoel je precies? Heb je een voorbeeld?

Wel de directory aangepast in het command?

Hoi,

Heb/had dus meerdere PHP-bestanden met meerdere infectieregels (stuk of 12). Normaal kun je met SED o.i.d. alleen een string laten vervangen. Aangezien ik dus meerdere regels had ging dat niet werken. In jouw voorbeeld heb je dus ook maar 1 regel, toch?

Probleem inmiddels opgelost. Alles even lokaal geplaats en even met Notepad++ laten vinden en vervangen..

Wat je ook kunt doen is in je maldet dir. even in de clean subdir kijken. Daar staat een scriptje om base64 crap te verwijderen.
Volgens mij wordt dat alleen aangetrapt als je een bijbehorende sig hebt, maar handmatig zou je het wel moeten kunnen gebruiken... lijkt me.

Wat schiet je er mee op? Waarschijnlijk blijft de oorzaak nu gewoon bestaan. Daarnaast zijn heel soms base64 encoded dingen ook legitiem. Kan je beter iets als ConfigServer eXploit Scanner die al meestal op tijd dat soort malafide dingen detecteert.