Cod base64 pe server

[Rapsodia]

Daca-mi dai acces la DB si fisiere ma pot uita.
Mi le poti pune undeva (le arhivezi si imi dai link). Am nevoie de /public_html si de un export din baza de date.

Ok, sa vad daca merge cu mutatul pe cont separat si daca se muta si problema iti dau acces direct in cPanel ca merge mai repede.

[Rapsodia]

Vad ca Wordfance incepe sa isi faca treaba [ varianta gratis, pacat ca la cea platita vor bani pentru fiecare site ]. Vad ca modalitatea de a curata si a muta pe acelasi server dar pe cont cPanel diferit da roade, pana una alta, ce a fost curatat si mutat pare ok. Va tin la curent, poate ajuta si pe altii.

Filename: wp-content/themes/gilmor/lib/functions/theme-functions.php
File Type: Not a core, theme, or plugin file from wordpress.org.
Details: This file appears to be installed or modified by a hacker to perform malicious activity. If you know about this file you can choose to ignore it to exclude it from future scans. The text we found in this file that matches a known malicious file is: eval(base64_decode(. The infection type is: Suspicious eval with a base64_decode.

[Empire]

Hostul nu cred ca va recunoaste vreodata ca s-a intamplat asa ceva din vin lui.

Wordfence e ok, dar la mine nu a curatat complet, a trebuit sa intru manual. Din fericire eram familiar cu structura wordpress si stiam ce e in plus, dar tot mi-a luat o saptamana sa curat tot.

[Dan]

Wordfence face bine ce face, respectiv scanarea, dar este limitat la repository de la wordpress pentru a compara fisierele, sa vada daca sunt "originale" sau nu.

Practic este posibil sa existe in tema premium (de obicei in functions.php) sau in plugin premium un cod care sa spuna "incarca si fisierul X.jpg si ruleaza-l". Fisierul X.jpg este exclus de la scanare (poti vedea in wordfence) impreuna cu png, ico si altele comune. Cand sunt rulate, umplu serverulde gandaci. Pe care tu ii cureti azi, maine, poimaine, pana te saturi si crezi ca are internetul sau universul ceva cu tine.

[Rapsodia]

Pe care tu ii cureti azi, maine, poimaine, pana te saturi si crezi ca are internetul sau universul ceva cu tine.

Mai am de mutat 4 site-uri, sper sa fie asta solutia, Ar fi culmea sa am probleme tocmai de la o tema cumparata! Nu ar fi exclus, avand in vedere ca aveau codbase asuns inc ea free. Intrebarea este cum poti sa le dovedesti ca e de la tema lor? Oricum sper sa nu fie asa, am mers ani buni pe free si acum sa am probleme de la ceva platit?

[Rapsodia]

Inca o intrebare: Wordfance da Server State cu probleme , am curata tot sa zic asa, doar ca am un plugin "abandonat", de la asta sa fie sau de fapt e o chestie de server si trebuie sa discut cu cei de la hosting?

Am pus Wordfance pe alt site alt server si acelasi plugin, nu da eroare de server, deci ramane intrebarea, daca am avertizare, ar trebui sa discut cu cei de la hosting sau o sa dea vina pe mine? Mentionez ca este cont de reseller.

[Marius Cristian]

Hostul nu cred ca va recunoaste vreodata ca s-a intamplat asa ceva din vin lui.

Wordfence e ok, dar la mine nu a curatat complet, a trebuit sa intru manual. Din fericire eram familiar cu structura wordpress si stiam ce e in plus, dar tot mi-a luat o saptamana sa curat tot.

Am avut si eu ceva similar virusat (insera cod in fisierele php a unui WP care era gazduit pe un server dedicat cu servicii de administrare), cel mai probabil, din cauza firmei de gazduire.
Din fericire am identificat problema, am gasit pe net un script dedicat acelui virus (naviga intr-un anumit folder si elimina din fisiere codul dubios).
Fiindca nu am identificat problema (nu am gasit alt fisier in plus, codul php din tema era facut de mine, pluginurile erau clasice, direct de pe WP, fara ca cineva sa semnaleze vreo problema similara, schimbat parolele, fara parole ftp salvate samd) si periodic acele fisiere erau rescrise am pus scriptul intr-un cron care sa ruleze la x minute.
Dupa acest ping pong cu fisierele dupa vreo 2 zile "am scapat". Din acest motiv presupun ca a fost din vina firmei care a rezolvat la un moment dat si, bineinteles, nu a fost dispusa sa recunoasca ca a au avut anumite vulnerabilitati.

[Rapsodia]

@marius Cristian: asa cred si eu ca este de la ei, am curatat tot, insa Wordfance arata o singura problema "Server stats", deci ca programator - cred ca e de la ei, acum negociez, desi ei insista sa aleg varianta platita la ei de devirusare... ceea ce nu mi se pare chiar ok! Mai ales ca am descoperit ca problema de server mai este pe alt cPanel pe acelasi cont de reseller.

[Rapsodia]

Update: au mutat fiecare site pe cont propriu de cPanel. problema s-a pastrat adica cea de server! Vulnerabilitatea este de la un plugin "abandonat", doar ca pe alt site identic, dispare problema de server, in conditii identice.

[Rapsodia]

Wordfance zice asa la eroare de server:

Server State
Scan for unauthorized DNS changes
Monitor disk space
Scan for misconfigured How does Wordfence get IPs
PHP Version Check (Can not be disabled)

Solutia celor de la hosting: Puteti sa apelati oricand la suportul celor de la wordfence pentru mai multe detalii.