[F.....o]

Mirki z #wordpress mam takie pytanko. Zawirusowało mi instalację i wysyła się SPAM. Co wywale zainfekowane pliki i naprawie podmienione, to minie parę(naście) godzin i te pliki znów się pojawiają. Już nie wiem co robić by się pozbyć tego gówna. Czy jak wywalę całe foldery wp-admin i wp-includes i wstawię te "fabryczne", to czy to pomoże i nie posadzi instalacji?

Co mogę jeszcze zrobić? Wtyczka anti-malware skanowała, usuwała, a dzieje się to nadal. Wszystko jest turbo zabezpieczone przed brute forcem.

Już sam nie wiem co robić.

[TenebrosuS]

@Fagaldo_Antonio:
1. przywróć pliki fabryczne i dokładnie przejrzyj, czy w folderach z obrazami nie ma jakichś plików
2. w jakiejś wtyczce lub skróce masz backdoora

[F.....o]

@TenebrosuS: cały uplouds tylko pliki graficzne, a co do fabrycznych - czy jak #!$%@? cały wp-admin i wp-includes i wgram fabryczne, to czy nie #!$%@? sie strona?

zaraz przejrzę wtyczki

[f.....s]

@Fagaldo_Antonio: Wszystko wywal, pluginy czyste, szablon czysty. wp-content/uploads czesto php ukryte.
Do 2 godzin i nawet rozbudowaną stronę można po infekcji odtworzyć i zabezpieczyć. Wraz przeniesieniem z/na serwer.

Rób to na nowej instalacji.
Wgraj szablon, wgraj pluginy. Dopasuj zmiany w szablonie. Doślij grafiki ( bez .php - ukrywają głęboko! )
Wgraj bazę danych i jak jest OK to przenieś na serwer właściwy wcześniej wszystko z niego usuwając.

[TenebrosuS]

@Fagaldo_Antonio: mi jak się wpieprzyło od jakiejś dziury to musiałem zrobić dokładnie tak jak @factorys: pisał.
Sprawdz jeszcze, czy na pewno nie masz jakichś świństw w bazie. Artykułów/stron/kont z prawami admina.

[F.....o]

@factorys: strona jest mocno rozbudowana i wprowadzanie od nowa treści potrwałoby z tydzień. Dlatego wolałbym zapisać sobie kopię treści, resztę #!$%@?ć i potem zaimportować treści, ale boję się że zaimportuję z malware

[f.....s]

@TenebrosuS: O konta admin dobra rzecz :) Często democontent instaluje domyślne konta :)
Inna zabawa nie ma sensu wszystko tą metodą robię...
Dziesiątki oczyszczonych wordpressów, zero infekcji powracających ( o ile zachowa się systematyczne aktualizacje wtyczek ).

[TenebrosuS]

@Fagaldo_Antonio: bazę możesz zostawić, ale musisz ją przeszukać porządnie

Sprawdz podfoldery skanerem jeśli masz tam jakieś inne instalacje np. forum.

[f.....s]

@Fagaldo_Antonio:
Po prostu najpierw stawiasz czysty wordpress i zmiany graficzne jak były dostosowujesz w szablonie.
Potem usuwasz jego bazę danych(pustą i tak), wgrywasz z zainfekowanej strony, oczyszczasz konta admina itp. Jak jest OK z serwera z infekcją wszystko w katalog nadrzędny wrzucasz, wgrywasz z serwera oczyszczonego pliki, bazę nową wgrywasz i strona działa.

Masz dzięki temu dwie kopie do porównania czy graficznie i funkcjonalnie jest OK. Potem szybka podmianka i działa.

[F.....o]

@factorys: #!$%@?łem 2 podejrzane wtyczki i zainstalowałem ponownie z bazy wp. Przejrzę jeszcze bazę danych, to ostatnie miejsce, gdzie może być coś podejrzanego.

[f.....s]

@Fagaldo_Antonio: Mogli dowolny plik dowolnej wtyczki podmienić, albo coś głęboko ukryć. Zostaje przeglądanie logów... Ale to więcej czasu zejdzie...
$_COOKIE['a']($_COOKIE['b'])
i już infekcja gotowa...

[sprzedafcaMakaronu]

@Fagaldo_Antonio: Zmień też hasło do ftp i nie trzymaj zapisanego w Filezilli, Total Commanderze czy czymkolwiek innym trzymającym hasła w czystym txt. No i przeleć komputer na trojany żeby nie było, że wyczyścisz na site, a za chwilę znowu coś (jeśli hasła w txt).

[F.....o]

@sprzedafcaMakaronu: na serio to trzyma hasła w txt? LOL

[artur-pajkert]

Zabezpiecz też się na przyszłość. Przykładowa wtyczka, które mogą pomóc we wzmocnieniu bezpieczeństwa Twojej strony, jest opisana tutaj: http://blog.hekko.pl/bezpieczenstwo-wordpressa-ochronic-strone-atakiem-hakerskim/