Site afectat de malware sau alte prostii din astea

[tataraseni]

Luni m-am trezit pe un site realizat cu WP ca am intr-un articol inserat un link catre alt site cu textul Viagra, Cialis, bla-bla-bla...

Pentru ca era ceva ce nu facusem cu manuta mea am dat un search dupa anchor si surprize-surprize: fiecare articol avea de codita un astfel de link (pozitionarea era pur intamplatoare in cadrul articolui).

Primul impuls a fost sa aplic nofollow la tot ce inseamna link extern (s-a rezolvat intr-un minut cu un plugin). Al doilea lucru pe care l-am facut a fost sa reinstalez de la zero WP si pluginurile aferente, dupa ce in prealabil am incercat o restaurare a bazei de date cu cateva backup-uri dar care din pacate erau toate alterate.

Am sapat pe net si am descoperit ca site-ul era afectat de malware: am sapat in baza de date dupa secvente malitioase, n-am gasit nimic si am crezut ca am scapat.

Mai ramanea sa gasesc o solutie de a curata toata baza de date de link-urile spam inserate, dar astazi m-am trezit cu un nou val de insert in acelasi stil.

Precizez ca am schimbat useri si parole de la WP si de la DB, am schimbat tema dar am puricat si vechea tema in cautare de cod suspect.

A mai fost cineva in situatia aceasta? Daca da, cum a rezolvat problema?

Site-ul are in jur de 1.500 de articole si o medie de 150 de vizitatori pe zi. Nu e ceva de care sa depind, e doar un proiect de suflet.

[Ben Boingeanu]

Lucrez foarte des pe wordpress, dar inca nu am patit asa ceva. La o prima cautare mi-a iesit asta in fata:

WordPress › Support » Spam link insertion hack

Sunt mai multe solutii, poate te ajuta, poate chiar le-ai citit deja.

[tataraseni]

Problema e ca nu gasesc nimic suspect, poate nu stiu ce sa caut, insa treaba e ca si cea cu operatia reusita dar pacientul mort...

[nexo]

@tataraseni: Mie mi s-a intamplat sa descopar ca am posturi care nu au fost publicate de mine, iar in content link catre diferite situri. Dupa ce am modificat permisiunile la unele fisiere din tema (le uitasem pe 777) nu am mai avut probleme.

[tanshi]

Cum spune nexo, verifica permisiile pe fisiere.

Verifica si pe hosting sa nu ai alte fisiere suspecte, ce nu apartin de wordpress, plugins, themes. Uita-te si la fisierele "hidden".

Plus, verifica .httacess

Exista cazuri similare pe hostingul tau? Eu am patit ceva asemanator pe un hosting 1and1 - aveau un script ciudat cu care adaugai fisierul de verificare pentru Google Webmaster tools pe domeniile addon, care era vulnerabil si am rezolvat problema doar schimband hostingul.

[tataraseni]

@nexo, @tanshi - am reinstalat complet WP + pluginuri WP, toate descarcate de pe WP... permisiunile pentru fisiere sunt OK. Problema e undeva in DB dar nu o gasesc...

[Dragos Nicu]

Incearca sa schimbi parola de la cPanel si FTP. Sterge cookies, cache din browser.

[tanshi]

incearca asta in phpmyadmin:

SELECT * FROM wp_posts WHERE post_content LIKE '%<iframe%'
UNION
SELECT * FROM wp_posts WHERE post_content LIKE '%<noscript%'
UNION
SELECT * FROM wp_posts WHERE post_content LIKE '%display:%'

[Alex Dumitru]

Eu acum cateva zile m-am trezit cu niste coduri de genul asta in jquery.js pe unul din blogurile mele, dar baza de date si restul fisierelor au fost curate.

Problema e ca nu poti sa gasesti foarte usor problema, codurile fiind criptate si generate de javascript.

Daca problema a aparut in alte posturi decat cele vechi, nu cred ca e posibil sa ai vreun cod in baza de date care sa faca asta. Cel mai probabil ai vreo vulnabilitate. Upgradeaza la ultima versiune de Wordpress tot timpul si spune-ne daca ai descoperit ceva

--- Later Edit --- (ca mi-a fost lene sa apas "Edit")

incearca asta in phpmyadmin:

SELECT * FROM wp_posts WHERE post_content LIKE '%<iframe%'
UNION
SELECT * FROM wp_posts WHERE post_content LIKE '%<noscript%'
UNION
SELECT * FROM wp_posts WHERE post_content LIKE '%display:%'

Sunt sanse mai mari daca cauta %<script%, pentru ca toate injecturile pe care le-am vazut sunt generate prin javascript ca sa nu poata fi gasite cu un simplu search.

--- Later Edit --- (ca mi-a fost lene sa apas "Edit")

Incearca sa schimbi parola de la cPanel si FTP. Sterge cookies, cache din browser.

Foarte buna ideea cu cookies si cache. Azinoapte nu am dormit pentru ca m-am chinuit sa reinstalez wp si sa curat tema de cateva ori. Si injectul disparuse de mult, dar imi ramasase mie pagina in cache

[tataraseni]

Rulat de mult... si e curat DB-ul...

--- Later Edit --- (ca mi-a fost lene sa apas "Edit")

Singurele care nu sunt afectate sun posturile programate, cum se publica unul nu trec 24 de ore si se aplica link spam-ul.

Sunt afectate toate articolele inca de la primul articol.

Sunt la zi cu WP-ul si cu pluginurile...

--- Later Edit --- (ca mi-a fost lene sa apas "Edit")

Tot ce inseamna cookies si cache se sterg automat cand inchid browserele cu care lucrez.

Schimbat de mult parola de cPanel si FTP, userul e cel setat de cei de la hosting.