Взломали сайт. Прошу помочь найти дыру

Кэш то у вас не вчерашний. Сами посмотрите, в нем, как минимум не хватает двух постов. Возможно просто ПС тормозит процесс обновления кэша и тупо выставил новую дату.

Вроде всё чисто. Или не?

Только что посмотрел, зашел с User-Agent "Google" - шапка забита ссылками. Клоакинг.

Где-то прописан код, отвечающий за вывод ссылок.

Часто подобный код кодируют в base64. Попробуйте сделать поиск по файлам с текстом: base64_decode

или с текстом

google

alexandr_nv добавил 24.06.2010 в 22:35

Наврядли дырка в самом движке, скорее всего в каких-то модулях.

И наверняка к вам уже залили т.н. шелл-скрипт (который дает полный доступ к сайту). Искать нужно его.

Содержимое .htaccess скиньте.

order allow,deny

#deny from designhome.biz

deny from 89.253.192.21

deny from 84.252.138.21

deny from 205.234.146.49

deny from 205.234.195.250

deny from 94.100.181.106

allow from all

AddDefaultCharset UTF-8

ErrorDocument 404 /error404.php

<IfModule mod_rewrite.c>

RewriteEngine On

RewriteBase /

Options +FollowSymlinks

RewriteCond %{HTTP_HOST} !^www\. [NC]

RewriteRule (.*) http://www.%{HTTP_HOST}/$1 [R=301,QSA,L]

RewriteRule ^pollsarchive$ wp-content/plugins/polls/wp-polls.php [QSA]

RewriteRule ^newsarchive(.*)$ newsarchive.php [NC]

RewriteCond %{REQUEST_FILENAME} !-f

RewriteCond %{REQUEST_FILENAME} !-d

RewriteRule . /index.php [L]

</IfModule>

SeaBreeze добавил 25.06.2010 в 00:33

Скачал дамп базы, поискал по base64 и google. Ничего подозрительного не нашел.

Кто поможет решить проблему, с меня 30 WMZ.

Покопаться можно, аська в профиле.

З.Ы. base64 если и может быть, то не в БД, а в самих файлах.

посмотрите логи скрипта поищете там запросы типа union select , далее скачайте файлы или прям на фтп посмотрите на дату последнего редактирования , потом уже можно делать поиск по файлам по ключевым словам которые указали выше , далее смотрите скрипт который выводит контент там может инклудиться левый файл после того как найдёте место или обновите модуль или поставте права доступа на все файлы 775 или ниже если 775 рут на крайняк можите стукнуть в icq я поищу

p.s в прошлом этим занимался :(

Перерыл весь сайт. В одном из файлов нашел строки:

<?php get_header(); eval(base64_decode("JHVpcCA9IGdldGVudignUkVNT1RFX итд итп 9IA==")); ?>

alexandr_nv, вы первый, кто указали на base64_decode.

Скиньте ваш кошелек в личку.

Спасибо за помощь.

Ненавижу того, кто это сделал! Трафик с поисковиков уменьшился в разы.

А теперь копайте в сторону самой бреши на сервере, иначе с большой вероятностью будут взламывать и дальше. На файлы самого вп, файлы шаблонов, файлы плагинов обычно ставят права 664, меняйте также пароли к сайту\хостингу.

На лису можно поставить User Agent Switcher и там выбирать "User Agent Google" для наблюдения за сайтом.