A propos tego wirusa atakującego poprzez dopisywanie kodu do stron .php i .htm(l) - najprawdopodobniej zaatakował Was fajny skrypcik Rosjan - MPack - na jego temat można poczytać sobie w kilku miejscach:
http://en.wikipedia.org/wiki/MPack_(software)http://pandalabs.pandasecurity.com/archive...ered_2100_.aspxNa tej ostatniej stronie jest link do fajnego opisu tego zestawu skryptów:
http://pandalabs.pandasecurity.com/blogs/i...05/11/MPack.pdfPonieważ też to przechodziłem w kilku stadiach rozwoju tego ustrojstwa na różnych serwerach, kilka porad:
1. Jak już zauważyłeś, że masz zawirusowane stronki - pierwsza rzecz - ZMIEŃ HASŁO! Ponieważ te skrypty nawiedzają skompromitowane serwery co kilka dni, czasami tygodni, im szybciej zmienisz hasło na TRUDNE do złamania, tym lepiej dla Ciebie. Nie warto poprawiać niczego w skryptach jeżeli nie zmienisz hasła, naprawdę....
2.a. Jeżeli masz najświeższą kopię serwisu, skryptów - przywróć wszystkie pliki, będzie po sprawie - tylko sprawdź najpierw, czy one też nie są zainfekowane, jeżeli jest to kopia dostawcy hostingu (jeżeli np. pliki były przez dłuższy czas zainfekowane).
2.b. Jeżeli nie masz kopii... no cóż... edytuj i płacz, szczególnie, jeżeli twój serwis ma xxx plików .html i.php... Trzeba sprawdzić wszystkie pliki które były na serwerze, wyciąć z nich kod, ZROBIĆ SOBIE BACKUP i wgrać z powrotem na serwer..
3. Jeżeli nie zmieniłeś hasła na serwerze, poczekaj dwa dni i wróć do punktu 2a lub 2b, bo przecież 1. jest zbyt trudny do wykonania...
Zapobieganie:
- ustawienie _dobrych_ haseł do serwerów, np. mietek123 nie jest zbyt dobrym rozwiązaniem..
- BACKUP, backup, backup, backup....
- sprawdzenie sobie komputera pod kątem trojanów, wirusów, rootkitów.. -> szczególnie jeżeli hasło do ftp nie było słownikowe i jeżeli masz Windows
Ustrojstwo dopisuje się w dwóch miejscach - w okolicach tagu <body> lub gdy go nie znajdzie to na końcu pliku.
Pewnym rozwiązaniem (tymczasowym) jest taki trick w skryptach php: wyświetlenie tagu body podzielonego na kawałki, np.
<?php
?>
wtedy nie zostanie to rozpoznane;
na dopisywanie się na końcu pliku jest sposób, ale do jednego dopisania działa - zostawienie komentarza na końcu pliku:
<?php
{twój skrypt...}
//
?>
Przy czym ostatnia linia nie powinna kończyć się znakiem nowej lini.. Skrypt dopisze się za komentarzem, co nie rozwali całej strony, gdy w kodzie php nagle znajdzie się kod html+javascript..
Jak wspomniałem, metoda ta działa tylko jeden raz, bo skrypt dopisuje też czasami \n ...
JESZCZE JEDNO:
Jeżeli nie umiesz zlokalizować iframek i zainfekowanych plików, lub np. Kaspersky wyrzuca komunikat, że jest zainfekowany plik, który nie istnieje fizycznie na serwerze -> przyczyną najprawdopodobniej są zainfekowane strony błędów serwowane przez Apache -> trzeba sprawdzić wszystkie strony 404, 500 itp.
Powodzenia! :)
P
Bardzo się zdziwiłem, że coś się mogło dopisać do mojego index.php 
