Спрашиваем и отвечаем по Wordpress-5

Добрый вечер. Прошу совета знатоков Вордпресса.

Есть сайт с хорошим шаблоном, полностью валидный код, минимум плагинов - только необходимые. Зашита: плагин WP-Security (всё зеленого цвета - в соответствии с рекомендациями безопасности), на входе проверка идёт через Login LockDown.

Проблема в том, недавно проверил валидность кода и обнаружил кучу ошибок, при том, что никакие работы с полностью настроенным сайтом не вёл, кроме наполнения текстовым контентом. Начал копаться и через validator.w3.org - увидел кучу левых ссылок, которые появились на главной странице и на всех внутренних (ссылки, естественно, спрятаны в какой-то блок, и я их визуально не обнаруживаю при работе с сайтом), которые вываливаются сразу после счётчика Яндекса. Дальше больше - на главной странице сайта смотрю код - всё чисто... при этом в файле footer.php - никакого левого кода нет, после счётчика Яндекса идёт код счётчика Li.

Тогда я вышел из админки и посмотрел на код HTML как простой пользователь - ссылки сразу же увидел. Короче, пока я под администратором - левых ссылок не видно, как только выхожу из админки, их тут же обнаруживаю.

Вошёл обратно в админку, зная, что всякая зараза прописывается в Вордпрессе в файле funtions.php, то же ничего подозрительного не нашёл, но поменял его полностью, на файл из бэкапа, и после проверки на валидность вижу, что код чистый. Думал, что это всё, но ошибся... так как после публикации очередной записи, опять проверил валидность - и вижу, что опять всплыли левые ссылки.

Как избавиться от этой заразы, подскажите, где можно копать и чем можно защитить сайт...

Парни подскажите как вот на этом сайте, на (главной где слайдер) поменять ссылку на посты. Т.е. мне надо чтобы при нажатии на заголовок "Слайд 1" или "Слайд 2" отправляло не на этот посты куда направляют сейчас, а например на другую новость или категорию. Шаблон Lensa.

buzater, наверняка какой-то плагин прописывает. Попробуйте отключить по отдельности плагины и смотрите когда ссылки пропадут. Попробуйте сделать поиск по содержимому всего сайта со словами: current_user_can (этот тег разграничения прав т.е в зависимости от значения может показываться администратору, юзеру и т.д)

Ага. Офигенский шаблон. :D Если не секрет, где брали?

Плагин очень хороший. Но он не поможет если сайт заранее взломан. В данном случае с 90% вероятностью что все это запаяно в шаблоне.

Ну или плагин поставили лишний.

Что делать? Читайте прилепленный топик. Сотрите все, закачайте ВП с офсайта и шаблон по новой. Если все то же самое - меняйте шаблон. Только не ищите в Гугле холяву. Возьмите один из 1700 шаблонов на офсайте Вордпресса.

---------- Добавлено 19.05.2013 в 22:37 ----------

Это вообще муть, защита от брута

В общем сделал как Вы посоветовали, и обнаружил очень неприятную вещь.

В общем на сайте установлен плагин кэширования "Hyper Cache", коим пользуется половина инета. Но именно при его отключении левые ссылки пропадают бесследно и более не появляются нигде на сайте после добавления новых записей:

1. Включаю этот плагин, обновляю какую-нибудь запись, сразу проверяю валидность кода - всё в норме, далее жду минут пять, проверяю валидность - всё вылезли левые ссылки (причём если просто почистить кеш - функционалом самого плагина, то левые ссылки также исчезают, но появлются опять после обновления любой записи на сайте).

2. Тут же удаляю плагин и проверяю валидность кода - всё чисто ссылки исчезли. Обновляю какую-нибудь запись, затем проверяю код на валидность в течение нескольких часов - никаких левых ссылок не вылазит.

Грешить на сам плагин, по которому нет отрицательных отзывов не могу, тем более, что он прекрасно работает у меня ещё на дюжине других сайтов. Выводы, вероятно локализаторы шаблона прописали какую-то умную заразу в файлы самого шаблона, которая активизируется только при кэшировании записей сайта. Безусловно, я шаблон проверил в меру своих сил, но не футере ни ещё где-либо стандартных кодов или вызов eval(base64... и тому подобного не нашёл, как и каких-то файлов с нестандартными названиями и расширениями.

P.S. Сейчас попробовал установить плагин кэширования W3 Total Cache, и повторилась та же самая ситуация - всплыли левые ссылки. Зараза точно сидит в коде шаблона...

Для спецов, если интересно, можете глянуть шаблон брал вот тут: http://morestyle.ru/themejunkie/portal-novostnaya-tema-wordpress-ot-themejunkie.html

Если будет время посмотрите, может у Вас получится найти "заразу"...

Изменил тему оформления на своем сайте http://golfstream.org.ua/. Под виджетом ссылки появилась на поле сайта сквозная ссылка Геомеханика.

Подскажите как убрать? Не нашел файла

Возможно, взломан именно этот плагин.

У кого какие мысли по поводу создания маленьких и средних иннет-магазинов на ВП? Кто этим занемался? Какие подводные камни бывают? Стоит ли этим заниматься?

Не догадаюсь. Наверно потому, что я сам их пишу и знаю, что плагины бывают разные. Все зависит от их качества. Кстати, а Вы знаете, какая разница между плагином и шаблоном, в плане наличия потенциальных уязвимостей?

Хм, скорее всего используются широкие права плагов для кэша, но дело 99% все же в шаблоне...

Ааа, ну вероятность 146% :(

---------- Добавлено 20.05.2013 в 23:53 ----------

Не меняется? notepad'ом ++ одновременно все файлы откройте (footer, sidebar и т.п.) и ctrl+F ищите урл. Должна найтись.

И не качайте темы неизвестно где.