Спрашиваем и отвечаем по Wordpress-9

Привет всем.

На большинстве моих сайтов с движком ВП, примерно 90%, появился вот этот вот скрипт

Погуглил в сети, на многих сайтах он так же появился недавно, особенно часто он "впихивается" как текст в формы для кода.... Похоже, что это новая атака на движок ВП.

Как побороть эту гадость, никто не сталкивался? Откуда оно грузится?

Похоже на тему/плагин с помойки/устаревшую/уязвимую. :)

Использовать свежие версии всего. Защищать сайт. Читать соседний раздел и закреплённый там топик.

Может быть, просто, в сети уйма других сайтов, у которых этот код появился начиная с 16 мая... Поэтому я и думаю, что это новая атака на ВП. А вот возраст и причины уязвимости мне неизвестны.

Вдруг кому-то пригодится как бороться\убрать код "<script type="text/javascript" src="//wq4.ru/js.js"></script>"

Внимание! В БД он отображается как: "<script type="text/javascript" src="//wq4.ru/js.js"></script>"

Я не особо большой специалист, но установил, что вирус этот пишется в базы данных. На хостере было пару моих БД, все разные и с разными именами\паролями. Видимо где-то хостер подкачал, что стали известны пароли или я какой-то плагин не обновил.

Вирус имел название PHP:BackDoor-BX [Trj]

Что я сделал:

1) скачал БД, нашел в них код этого вируса (увы, но только код который "вставляется").

2) Параллельно нашелся файл в котором был этот вирус - это был options.php файлик в кешпапке... Хостер вирус не обнаружил, файл был обнаружен ативирусом на компьютере.

3) После замены\удаления кода в БД, я сменил пароли ко всем БД и их имена.

4) Залил очищенные базы данных.

Может, кому-то эта информация поможет.

malquem, поиск по тексту через тотал коммандер поможет, сам так адаптировал шаблон на английском языке под наши реалии

Хостер здесь явно не причем!!!

Проверьте свой сайт с помощью "wpscan" возможно много интересного про свой сайт узнаете.

Например Ваш логин от админ панели, а вот сбрутить пароль если получится, тогда уже в сторону хостера головой кивать.

Спасибо, беда в том, что у меня их пачка... Где прорыв не ясно.

Konceptovskiy, обиженный по жизни?

solomko, связались с WP, беспокойтесь о безопасности, подпишитесь на /ru/forum/899258

и если хотите конкретики, пишите конкретные данные, какие плагины установлены хотя бы, шелл на сайт может разными путями попасть, от вируса на компьютере и украденного доступа фтп, до уязвимости на соседнем аккаунте хостинга, но самое распространенное все-таки уязвимость в ваших скриптах.

просто на сотнях сайтов используются

и SeVlad тут прав, "с 16 мая" это уже не новая атака... это "старая" атака. а то что ей месяц уже говорит об отношении вебмастеров к своим сайтам🍿

Я же написал проверьте "wpscan" в Kali linux он уже установлен. Запустите и он покажет где брешь.

Вообще WP только на первый взгляд кажется простой и не сложной CMS.

WP, CMS очень капризная и требует постоянного внимания. 1 месяц не уделил должного внимания - держи "леща" 😂

totamon, спасибо подпишусь.

Да, виноват, сам понимаю, что нужно было обновлять плагины и все остальное. Вирус нашло в плагине под названием "posts-by-tags". Это был очень старый плагин, который я просто не удалял. Время создания папки было 2014 год, июнь. А обновлялась папка 16 мая.

Сложно следить за пачкой сайтов, особенно если пару из них "замороженные" проекты.

---------- Добавлено 04.07.2015 в 23:20 ----------

eiweb, спасибо.

Вирус вернулся.

Можно каким-то плагином проверить кто и ЧТО пишет в базу данных?

---------- Добавлено 05.07.2015 в 12:30 ----------

Есть какие-то плагины, которые мониторят кто и что пишет в определенный table базы данных?