Троян на хостинге с WP

DI
На сайте с 22.01.2010
Offline
135
1213

Последнее время на хостинге стали появляться трояны/шеллы

http://prntscr.com/9uxukc

Сам шелл: http://rghost.ru/7hYM842yk

В логах сервера ничего подозрительного я не вижу (смотрю по дате изменения файла и ищу дату в логах).

Стоят WP последних версий, стоит плагин Wordence WP и на кроне ai-bolit

1 сайт на DLE последней версии

На сервере стоят рекомендуемые хостингом CHMOD

1. Подскажите что это за код (шелл или еще что), можно ли расшифровать?

2. Как им может воспользоваться злоумышленник? Какие ожидать последствия

3. Что еще можно проверить/предпринять, чтобы исключить уязвимости

SeVlad
На сайте с 03.11.2008
Offline
1609
#1
DaImeR:
Сам шелл: http://rghost.ru/7hYM842yk

Был уже один такой /ru/forum/906050

awasome:
Только причем тут вп, если шелл был залит через плагин?
Flector:
и правда - плагин установлен с помойки. полагаю, что варезная Pro версия. а во всех варезных темах и плагины зашиты вирусы, абсолютно во всех - нынче найти честный варезник без вирусов практически нереально. а потом начинается - "wordpress самая дырявая смс на свете". смешно, конечно - собственноручно взломать свой сайт, но винить в этом не себя.
DaImeR:
сайт на DLE последней версии

Еще и ДЛЕ? Ломанный поди?

Делаю хорошие сайты хорошим людям. Предпочтение коммерческим направлениям. Связь со мной через http://wp.me/P3YHjQ-3.
DI
На сайте с 22.01.2010
Offline
135
#2

Все с официального репозитория. Лицензия на ДЛЕ была куплена в прошлом году, обновления тоже с официального сайта

Как понять что залили через плагин? Из за того, что шелл в директории плагина?

Из соседней ветки понятно одно, что вся правда в логах. Будем анализировать. Дата изменения файла = дата загрузки на сервер?

SeVlad
На сайте с 03.11.2008
Offline
1609
#3
DaImeR:
Из соседней ветки понятно одно, что вся правда в лога

Из соседней ветки понятно, что товарищ взял плагин на помойке. В плагине уязвимость, которой и воспользовались злоумыленники.

DaImeR:
Все с официального репозитория.

И тема(ы)? Ну это уже хорошо. Но кроме того, что из оф. - оно должно быть актуальным и сегодня там находиться. Есть случаи, когда находили уязвимости в аддонах из оф репо. Тогда они (аддоны) оттуда удалялись.

DI
На сайте с 22.01.2010
Offline
135
#4
SeVlad:
Был уже один такой /ru/forum/906050





Еще и ДЛЕ? Ломанный поди?
SeVlad:
Из соседней ветки понятно, что товарищ взял плагин на помойке. В плагине уязвимость, которой и воспользовались злоумыленники.


И тема(ы)? Ну это уже хорошо. Но кроме того, что из оф. - оно должно быть актуальным и сегодня там находиться. Есть случаи, когда находили уязвимости в аддонах из оф репо. Тогда они (аддоны) оттуда удалялись.

Хм...ну тема с themeforest, к этой теме штук 5 плагинов в комлекте, которые хз откуда.

А есть ли софт/скрипт (хотя такой скрипт наверно повесит сервер), который бы делал слепок сервера и потом через 2-3 можно было их сравнить? Дебиан 7 стоит

SeVlad
На сайте с 03.11.2008
Offline
1609
#5
DaImeR:
ну тема с themeforest, к этой теме штук 5 плагинов в комлекте, которые хз откуда.

Ну вот и потенциально опасные места.

В покупных темах столько древностей и уязвимостей попадается - диву даёшься.

Айболитом или манулом что ли пройдись.

DaImeR:
А есть ли софт/скрипт (хотя такой скрипт наверно повесит сервер), который бы делал слепок сервера и потом через 2-3 можно было их сравнить?

Полно. Даже плаг под ВП был. Но лучше не нагружать двиг этим.

Напр /ru/forum/697566 (ссылка на скрипт в 6 посте)

DI
На сайте с 22.01.2010
Offline
135
#6

Вот на DLE есть встроенный антивирус делает слепок файлов сайта и потом можно искать что изменилось. Для WP такого плагина нет?

Тот что рекомендовали, кладет сервер, не хватает озу на вирт хостинге

Fatal error: Allowed memory size of 134217728 bytes exhausted (tried to allocate 32759344 bytes) in /var/www/
SeVlad
На сайте с 03.11.2008
Offline
1609
#7
DaImeR:
Тот что рекомендовали, кладет сервер, не хватает озу на вирт хостинге

Ну поищи другие. Их много.

DaImeR:
Для WP такого плагина нет?

Как-то так https://wordpress.org/plugins/search.php?q=file+monitor

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий