Посоветуйте, сайт взломали!

то это вроде C99madShell

Ну все… капец теперь… ток презнаджек. других вариантов нету. ;)

шелл — вредонос в чем отличие ?
а как вообще проверить есть шелл — вредонос или нет ?

Не забивайте голову. Шелл — это просто оболочка для управления.
А уж вредная она или полезная зависит от целей пользователя.

Проверить я уже написал как: сравнить все папки и файлы что на сайте с чистыми.

У знакомого была аналогичная проблема, всё грешил на скрипт, дескать дыра где то, позже поняли, что виной тому хостер- тупо кривые настройки сервера+не обновлённые модули ПО. Пришлось переезжать, хостер отказался что то делать просто.

Сегодня в папке upload обнаружил файлик file_php.fla знающие проанализируйте что за гадость? прикепил в архиве…

Сам же и отвечу, нашел в нете про него www.xakep.ru/magazine/xa/113/074/1.asp

c99madshell — Web shell
Web shell — система управления сервером через веб интерфейс.

Удобный обозреватель и редактор файлов на сервере
Функциональный SQL-клиент
Командная строка
Выполнение произвольного PHP-кода
Поиск файлов .htpasswd, config.inc.php, suid, sgid, service.pwd, bind_bash, .fetchmail, etc
Работа с буфером
Менеджер процессов
Базовая оценка безопасности сервера
Работа при включенном SafeMode-режиме
Совместимость со всеми операционными системами
Защита путем авторизации (логин/пароль)

Из основных нововведений, приобретенных скриптом, отметим:
Упрощенное отображение (никакой лишней графики, только текст и псевдографика)
Невидимость для антивирусов (скрипт полностью переписан, тело закодировано)
Уменьшенный размер (удалено все лишнее, размер составляет 44 Кб)
Отсутствие GET-запросов (все запросы передаются POST-методом)

Это и есть один из распространенный шеллов — C99Shell

UPD
пока я смотрел, уже и сам разобрался. )

как понимаю, название у скрипта может быть любым, или все же можно вычислить по параметрам?

Название, размер могут быть любыми.
Более того, он может быть уже прописан в теле любого файла сайта.

Посетитель вот это засветился…

Да что вы такое говорите? Никакой код не может быть "вредоносом", вредить могут только люди. Я, к примеру, не навредил же вам ;)

что это было? объявился таки?) Продолжай, честно сказать игры в прятки уже надоели.

Ты навредил мне лично и моему времени, которое я мог бы потратить на более полезные дела, нежели тебя ловить.

в .htaccess прописали это
это обычно через фтп делают или еще есть варианты?

кто сможет объяснить сие сообщение:
-----------------------------------------------

Однако среди Ваших файлов также с большой вероятностью находится веб-шелл, поэтому рекомендуем произвести поиск по файлам по описанным в нашей Помощи функциям, а также по create_function, headers_sent и preg_match с флагом e.

это обычно через фтп делают или еще есть варианты ?

Да, есть варианты.

Да, есть варианты.

Если знаете, то как с этим бороться?

Серый, как ты ник не менял, медали выдают :))
более подробно про варианты: — произвести поиск по файлам create_function, headers_sent и preg_match с флагом e.?