[grastanislaw]

Jest jakiś sposób na zlokalizowanie zawirusowanej podstrony na wordpress? Dodało mi scamerskie gówno, wygląda jakby była nowa podstrona ręcznie dodana do wordpressa, ale nie mogę jej zlokalizować, szukam różnych fragmentów z sourcecode po wszystkich plikach, ale kompletnie nic nie znajduje. Pousuwałem wszystkie podejrzane pliczki, ale cały czas się wyświetla. Macie jakiś pomysł?

#wordpress #wirus #webdev #seo

[januzi]

@grastanislaw: wordfence, przeskanować wszystko; jeśli się coś znajdzie, to będzie na liście zmodyfikowanych plików
Poza tym możesz poszukać po dacie modyfikacji plików, szczególnie index.php, functions.php oraz wp-config.php oraz możesz poszukać po słowach curl, filegetcontents, fsockopen.

[hitmeneki]

@grastanislaw: worldfence i zwróć uwagę na pluginy, które już są niewspierane. Mi ktoś dograł syf do jednego pluginu.

[patryk-4]

@grastanislaw mogło też wejść bezpośrednio do bazy danych, przeszukaj posty w mysql

[januzi]

@grastanislaw: W sumie to jeszcze base64_decode, eval oraz gzinflate występujące w plikach. Zwróć uwagę także na szablony, jeśli na serwerze są jakieś, które nie są używane, to je wywal (ostatnio kasowałem wirusa udającego szablon). Podobnie zrób ze wtyczkami. Jeśli są jakieś powody, żeby zatrzymać szablon/wtyczkę, to wrzuć je do zipa. Byleby nie były widoczne z internetu.
Możesz także użyć strony https://wpsec.com/. Pokaże ona mniej więcej to samo co wordfence, ale

[grastanislaw]

base64decode

@januzi: to tutaj chyba bingo, w function.php mam

function customFiltersSettings() {

$settings = getoption('wpcustomfilters');

if (!$settings) {

return null;

}

return unserialize(base64_decode($settings));

}

po pousuwaniu pojedyńczych elementów widzę zmiany na spamerskiej podstronie, ale wywalając cały fragement wykrzacza mi stronę, nie mogę wywalić kawałka tak, aby zadziałało tylko na niechcianej podstronie. Na razie brakuje mi pomysłu, muszę się przespać z tym.

@hitmeneki @patryk-4

[januzi]

@grastanislaw: Raczej nie to. Ale zobacz w bazie w tabeli wp_options co zawiera rekord z nazwą custom filters. W internecie możesz znaleźć strony, które wykonają base64 decode, a potem unserialize. Na podstawie tego, co wyjdzie będziesz mógł określić czy to coś złośliwego, czy nie.