Site afectat de malware sau alte prostii din astea

Luni m-am trezit pe un site realizat cu WP ca am intr-un articol inserat un link catre alt site cu textul Viagra, Cialis, bla-bla-bla...

Pentru ca era ceva ce nu facusem cu manuta mea am dat un search dupa anchor si surprize-surprize: fiecare articol avea de codita un astfel de link (pozitionarea era pur intamplatoare in cadrul articolui).

Primul impuls a fost sa aplic nofollow la tot ce inseamna link extern (s-a rezolvat intr-un minut cu un plugin). Al doilea lucru pe care l-am facut a fost sa reinstalez de la zero WP si pluginurile aferente, dupa ce in prealabil am incercat o restaurare a bazei de date cu cateva backup-uri dar care din pacate erau toate alterate.

Am sapat pe net si am descoperit ca site-ul era afectat de malware: am sapat in baza de date dupa secvente malitioase, n-am gasit nimic si am crezut ca am scapat.

Mai ramanea sa gasesc o solutie de a curata toata baza de date de link-urile spam inserate, dar astazi m-am trezit cu un nou val de insert in acelasi stil.

Precizez ca am schimbat useri si parole de la WP si de la DB, am schimbat tema dar am puricat si vechea tema in cautare de cod suspect.

A mai fost cineva in situatia aceasta? Daca da, cum a rezolvat problema?

Site-ul are in jur de 1.500 de articole si o medie de 150 de vizitatori pe zi. Nu e ceva de care sa depind, e doar un proiect de suflet.

Lucrez foarte des pe wordpress, dar inca nu am patit asa ceva. La o prima cautare mi-a iesit asta in fata:

WordPress › Support » Spam link insertion hack

Sunt mai multe solutii, poate te ajuta, poate chiar le-ai citit deja.

Problema e ca nu gasesc nimic suspect, poate nu stiu ce sa caut, insa treaba e ca si cea cu operatia reusita dar pacientul mort...

@tataraseni: Mie mi s-a intamplat sa descopar ca am posturi care nu au fost publicate de mine, iar in content link catre diferite situri. Dupa ce am modificat permisiunile la unele fisiere din tema (le uitasem pe 777) nu am mai avut probleme.

Cum spune nexo, verifica permisiile pe fisiere.

Verifica si pe hosting sa nu ai alte fisiere suspecte, ce nu apartin de wordpress, plugins, themes. Uita-te si la fisierele "hidden".

Plus, verifica .httacess

Exista cazuri similare pe hostingul tau? Eu am patit ceva asemanator pe un hosting 1and1 - aveau un script ciudat cu care adaugai fisierul de verificare pentru Google Webmaster tools pe domeniile addon, care era vulnerabil si am rezolvat problema doar schimband hostingul.

@nexo, @tanshi - am reinstalat complet WP + pluginuri WP, toate descarcate de pe WP... permisiunile pentru fisiere sunt OK. Problema e undeva in DB dar nu o gasesc...

Incearca sa schimbi parola de la cPanel si FTP. Sterge cookies, cache din browser.

incearca asta in phpmyadmin:

Cod:

---

SELECT * FROM wp_posts WHERE post_content LIKE '%<iframe%'
UNION
SELECT * FROM wp_posts WHERE post_content LIKE '%<noscript%'
UNION
SELECT * FROM wp_posts WHERE post_content LIKE '%display:%'

---

Eu acum cateva zile m-am trezit cu niste coduri de genul asta in jquery.js pe unul din blogurile mele, dar baza de date si restul fisierelor au fost curate.

Problema e ca nu poti sa gasesti foarte usor problema, codurile fiind criptate si generate de javascript.

Daca problema a aparut in alte posturi decat cele vechi, nu cred ca e posibil sa ai vreun cod in baza de date care sa faca asta. Cel mai probabil ai vreo vulnabilitate. Upgradeaza la ultima versiune de Wordpress tot timpul si spune-ne daca ai descoperit ceva :)

--- Later Edit --- (ca mi-a fost lene sa apas "Edit")

Citat:

---

Postat în original de tanshi

incearca asta in phpmyadmin:

Cod:

---

SELECT * FROM wp_posts WHERE post_content LIKE '%<iframe%'
UNION
SELECT * FROM wp_posts WHERE post_content LIKE '%<noscript%'
UNION
SELECT * FROM wp_posts WHERE post_content LIKE '%display:%'

---

---

Sunt sanse mai mari daca cauta %<script%, pentru ca toate injecturile pe care le-am vazut sunt generate prin javascript ca sa nu poata fi gasite cu un simplu search.

--- Later Edit --- (ca mi-a fost lene sa apas "Edit")

Citat:

---

Postat în original de Dragos Nicu

Incearca sa schimbi parola de la cPanel si FTP. Sterge cookies, cache din browser.

---

Foarte buna ideea cu cookies si cache. Azinoapte nu am dormit pentru ca m-am chinuit sa reinstalez wp si sa curat tema de cateva ori. Si injectul disparuse de mult, dar imi ramasase mie pagina in cache :D

Rulat de mult... si e curat DB-ul...

--- Later Edit --- (ca mi-a fost lene sa apas "Edit")

Singurele care nu sunt afectate sun posturile programate, cum se publica unul nu trec 24 de ore si se aplica link spam-ul.

Sunt afectate toate articolele inca de la primul articol.

Sunt la zi cu WP-ul si cu pluginurile...

--- Later Edit --- (ca mi-a fost lene sa apas "Edit")

Tot ce inseamna cookies si cache se sterg automat cand inchid browserele cu care lucrez.

Schimbat de mult parola de cPanel si FTP, userul e cel setat de cei de la hosting.

Scaneaza-ti si PC-ul cu Malwarebytes' Anti-Malware: Malwarebytes
In rest nu stiu ce sa mai zic, incearca sa dai un mail la host pentru ca e foarte ciudat.

Cu cei de la hosting am discutat inca din prima zi...

O reinstalare de wordpress nu inseamna neaparat ca ai scapat de toate fisierele ce ar putea fi in hosting.

Cum as face eu: as sterge tot folosind un program de ftp, avand setat sa imi afiseze si fisierele ascunse.
Setezi wordpress-ul sa foloseasca o alta baza de date decat cea veche.
Scrii un artciol nou, vezi daca se intampla ceva. Daca se "viruseaza" sau nu.
Daca totul e ok treci worspress-ul pe baza de date veche, vezi daca se modifica ceva. Daca se contamineaza din nou, atunci sunt sanse mari sa fie ceva prin baza de date. Daca nu, problema e in alta parte.

Ideea e sa o iei metodic, pas cu pas. Sa vezi la care pas intampini probleme. Asa e cel mai usor de aflat si eliminat o eroare.

Exact aceasta am facut si sunt 100% convins ca in fisiere nu e nimic suspect si nici fisiere hidden nu sunt corupte.

In schimb, in ceea ce priveste DB nu sunt sigur de nimic si nu stiu ce sa mai caut.

Foloseste baza de date intr0un wordpress instalat pe localhost. Daca nu se intampla nimic instaleaza si pluginurile ce le foloseai pe varianta live.

In general problemele pot fi de la :
- tema folosita
- pluginurile folosite
- alte widgeturi/bannere/chestii instalate
- virus in calculator
- virus pe host

Poate asta ajuta: WordPress › Exploit Scanner « WordPress Plugins