Взлом сайтов на Wordpress - предупреждение и просьба о помощи

А к логам вебсервера есть доступ? Если подобрали пароль в админку по access.log апача можно узнать IP.

К сожалению, тупой хостер хранит логи лишь за последние два дня - по крайней мере по его утверждениям. А когда именно произошла вставка кода, точно неизвестно.

Товарищи работают аккуратно, попортили только по 3 записи с каждого блога, причем не новые, а постарее, ссылки спрятали, логины-пароли не меняли.

В имеющихся логах последних двух дней никакой подозрительной активности не видно.

Какой хостинг?

А то вдруг тоже проверить и свои сайты не помешает.

У меня тоже было такое на нескольких сайтиках, особой ценности не представляют. Логи сохранились с августа, сейчас пробую разобраться в одном логе для сайта с одной записью.

Но я одновременно на этих сайтах обнаружил дорвеи, о которых писали на

http://blog.unmaskparasites.com/2011/08/05/hacked-wordpress-blogs-poison-google-images/

http://blog.unmaskparasites.com/2011/08/14/following-the-black-hat-seo-traces/

Это когда создаются тысячи страниц типа: example.eu/?tnj=57720.php3

Как это убить, пока не понял. 😕 Удалил все файлы, заново поставил вордпресс. Но в гуглопанельке вебмастера все равно показывается, что robots.txt заблокировал несколько тысяч левых страниц вроде example.eu/?tnj=57720.php3

И на сайт десятки тысяч ссылок с других взломанных сайтов. Где-то засел вражеский скрипт.

Добавлено:

В логе есть подозрительный фрагмент:

46.182.105.230 - - [05/Sep/2011:04:27:53 +0400] "POST / HTTP/1.0" 200 47421 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; Hotbar 4.5.1.0)"

46.182.105.230 - - [05/Sep/2011:04:27:55 +0400] "POST / HTTP/1.0" 200 211 "-" "Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.7.7) Gecko/20050414 Firefox/1.0.3"

46.182.105.230 - - [05/Sep/2011:04:27:55 +0400] "POST / HTTP/1.0" 200 896 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; i-NavFourF; .NET CLR 1.1.4322)"

46.182.105.230 - - [05/Sep/2011:05:48:31 +0400] "POST / HTTP/1.0" 200 553 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; Q312461; .NET CLR 1.1.4322)"

46.182.105.230 - - [05/Sep/2011:05:58:31 +0400] "POST / HTTP/1.0" 200 553 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; pt-BR; rv:1.7.5) Gecko/20041118 Firefox/1.0"

46.182.105.230 - - [05/Sep/2011:08:02:02 +0400] "POST / HTTP/1.0" 200 211 "-" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; Arcor 5.003; .NET CLR 1.1.4322)"

178.126.41.115 - - [05/Sep/2011:08:46:48 +0400] "GET / HTTP/1.0" 404 1734 "-" "Xenu Link Sleuth/1.3.8"

178.126.41.115 - - [05/Sep/2011:08:46:50 +0400] "GET / HTTP/1.0" 404 1734 "-" "Xenu Link Sleuth/1.3.8"

178.126.41.115 - - [05/Sep/2011:08:46:50 +0400] "GET / HTTP/1.0" 404 1734 "-" "Xenu Link Sleuth/1.3.8"

Поиском по ip 46.182.105.230 находятся упоминания здесь:

http://www.phpbbguru.net/community/topic34197.html

там речь о взломе форума

плагин для Wordpress для зашиты от взлома логина admin по IP.

http://fhf.ofru.ru/25873608

может поможет

Странно, что логи хранятся только за два дня... Не хочу клеветать, а может хостер всему виной?

<!-- wp_post_end --><div style="visibility:hidden"><a href="http://turstroi.net/">&nbsp;</a><a href="http://gid4u.com">&nbsp;</a></div>

Не так давно было сообщение об уязвимости в timthumb.php. Вы на него реагировали? Если нет, то стоит закрыть уязвимость.

Спасибо за совет!

тоже как-то ломают один и тот же сайт. Похоже, через плагин какой-то.

Заливают в индексные файлы и файлы плагина скрипт с ссылкой на сайт.

Замечаешь это только тогда, когда яндекс и гугл помечают сайт как вредоносные, и практически перестает идти трафик.

та же фигня с вордпрессами постоянно.

оп - вылетел из индекса, начинаешь смотреть - левые ссылки в коде.

не успел залататься - жди гостей.

старый сайтик как вылетел когда-то - до си пор не вернулся :(

вот за такую дырявость меня вордпресс и раздражает.