ну да, я же заливаю шелл , с него еще один. Захожу со второго шелла сек. 10 он работает и 404

Был аналогичный случай, просто перекриптовал свой шел и все норм.

Залейте что-нибудь безобидное. /

Как вариант, вообще тупо текст под расширением .php . Если это тоже пропадет - дело далеко не в крипте, а в озлобленной и неудовлетворенной активной IPS\IDS.

Если это тереть не будут, в чем сомневаюсь, то да, дело в сигнатурах.

Отпишите по результатам, любопытно глянуть.

Как я уже говорил, тот же weevely, который не прокатил у ТС, имеет встроенную обязательную криптовку и весит на порядок-другой меньше того же wso. Весьма маловероятно, что он может спалиться по сигнатурам.

Залил файлик .php, просто с текстом gwegwegipewmjngoewngewgn.

Повисел ровно столько же, сколько шелл код.

ps ща опять заработал, отпишу когда перестанет

В любом случае, у вас есть рабочий шелл, пусть и на секунды. Этого более чем хватит. Вариантов в целом два:

1) Загнать весь нужный функционал в один файл, потом выполнить его и подняться

2) Каждые n

[QUOTE="madhatter"]
В любом случае, у вас есть рабочий шелл, пусть и на секунды. Этого более чем хватит. Вариантов в целом два:
1) Загнать весь нужный функционал в один файл, потом выполнить его и подняться
2) Каждые n

Так вы расскажите, что стало с безобидным .php? Таки удаляется или нет?

как не странно, но пока на месте)