WapGraf: Решение банальное: обновление к последней версии и минимизация плагинов. В принципе то чего нужно придерживаться на любой кмс.
А вы уважаемый багу нашли? Или просто удалили все и скачали новый WP без плагинов, если путь номер 2 , то это ни о чем не говорит и ничего у вас не порешалось, ждите пока по новой появится...
Вот мне интересно, если ты такой понимающий ;)))) То почему перво пост не читал? ;))) Я же не спрашивал "помогите, что мне делать", я полагал получить ответы типа этих: "да я вот сталкивался, это дыра в модуле таком-то"..... и тому подобными :D ОПЫТ ..... а теорий у самого достаточно :D
Еще есть папки:
./wp-content/plugins/wp_add
./wp-content/plugins/wp_404
./wp-content/themes/MyCinema
Тут тоже были зараженные файлы, но это уже не суть важно, я уже писал выше, что после взлома они могут быть ГДЕ угодно... :) Но я взял акаунтов парочку, изучил , погрепал, попарсил.... Вроде вынял все явные eval() И base64_decode().
pavel419: Romka_Kharkov, ну пароли поменять как минимум и не хранить их, где зря. К слову, лицензионный каспер стоит на машине )
Вы видимо не поняли, я - хостер )))) у меня нет моих сайтов, выявлена активность почты, за последнее время, симптомы одни и те же, сломанные сайты на WP ;) пытаюсь понять, что рекомендовать абонентам в таком случае. ;) Как-то с 3.5.1 => 3.5.2 для меня самого звучит не сильно убедительно, но раз пишут что там Security фиксы были - все равно стоит рекомендовать обновление :D
---------- Добавлено 04.07.2013 в 16:37 ----------
Maneki: информация на сайт не обновляется, все почистил, на все папки в аплоадс поставил права 644. ЗЫ Из плагинов только Google XML Sitemaps и Платинум СЕО пак. Зараженный сайт работал без проблем, точно так же, внешне никак не выражается, только когда полез по фтп посмотреть.
Да в самом WP может быть одна переменная которая пропускает какие-то кавычки и гаплык 🤪🤪🤪 вот буду сейчас изучать поведение взломщика, выявлять точку проникновения :D
Maneki: пользуюсь только официальным репозиторием, все плагины с давней историей, используются и на других сайтах, но зараза обнаружена только на 1. Новое ничего не подгружаю, движок обновляется. Пострадавший сайт - трехлетний, на котором давно ничего не добавлялось, на домене 3 уровня с посещаемостью в 10 человек.
---------- Добавлено 04.07.2013 в 17:27 ----------
да, какие-то папки появились, но были грохнуты. Очень похоже, что сабжевый файл - шелл. Код не смотрел, но могу полезть и выковырять из бэкапа.
Понимаете ли.... есть такое выражение например "если у вас нет паранойи это не означает , что за вами не следят"... точно так же и тут, то что у вас сломали всего 1 сайт из 10-20-50 вовсе не говорит, что дыра только в нем, остальные сайты могли просто не попасть в поле зрения\интереса по каким-то причинам, согласитесь и без ваших 10-20-50 сайтов есть куча других WP :)
Ну а коды приблизительно во всех случаях одинаковы, все что можно уже порезано, остается mail... пора наверное переводить локальных пользователей на авторизацию по SMTP... хотя это теряет смысл ввиду возможности компроментации акаунтов посредством WP и.т.д.....
Аналогичное ..... Это сути не меняет, залитые файлы все принимают что-то на POST в котором содержится или шифр или прямой код....
Вопрос в том, вы знаете откуда он к вам попал? :)
Решение банальное: обновление к последней версии и минимизация плагинов.
В принципе то чего нужно придерживаться на любой кмс.
А вы уважаемый багу нашли? Или просто удалили все и скачали новый WP без плагинов, если путь номер 2 , то это ни о чем не говорит и ничего у вас не порешалось, ждите пока по новой появится...
// Пока что была всего 1 попытка, попасть на другой файлик из набора сломанных, получил 404 ... и пока все :(
Жду пролома :S
.........
Вот мне интересно, если ты такой понимающий ;)))) То почему перво пост не читал? ;))) Я же не спрашивал "помогите, что мне делать", я полагал получить ответы типа этих: "да я вот сталкивался, это дыра в модуле таком-то"..... и тому подобными :D ОПЫТ ..... а теорий у самого достаточно :D
Еще есть папки:
./wp-content/plugins/wp_add
./wp-content/plugins/wp_404
./wp-content/themes/MyCinema
Тут тоже были зараженные файлы, но это уже не суть важно, я уже писал выше, что после взлома они могут быть ГДЕ угодно... :) Но я взял акаунтов парочку, изучил , погрепал, попарсил.... Вроде вынял все явные eval() И base64_decode().
А может на dom0 начал винт умирать?
У меня есть сайт под буржунет на вкусную тематику
Последний WP - и все равно ломают
Вылечил закрытием всех пост запросов кроме моего IP
OMG :D
А посетители POST Не создают? ;)
---------- Добавлено 04.07.2013 в 17:17 ----------
?
нет. я не знаю такого слова.
Ну это по простому "сильно повезло" :D
---------- Добавлено 04.07.2013 в 17:38 ----------
// Посмотрел что там в залитый файлик струячат постом... ничего нового, банальный спам. через mail() ;(
Зы на аккаунте ~ 40 сайтов на wp, пострадал только 1.
Вы же понимаете что это ФАРТ :D ?
// ADD
Маскируется как "wp-content/plugins/wp_api/".
Все нутря пропитаны шелами :D
Так же заливает в wp-admin gif файлик с шелом, а в .htaccess там же помещается
AddType application/x-httpd-php .gif
Romka_Kharkov, ну пароли поменять как минимум и не хранить их, где зря. К слову, лицензионный каспер стоит на машине )
Вы видимо не поняли, я - хостер )))) у меня нет моих сайтов, выявлена активность почты, за последнее время, симптомы одни и те же, сломанные сайты на WP ;) пытаюсь понять, что рекомендовать абонентам в таком случае. ;) Как-то с 3.5.1 => 3.5.2 для меня самого звучит не сильно убедительно, но раз пишут что там Security фиксы были - все равно стоит рекомендовать обновление :D
---------- Добавлено 04.07.2013 в 16:37 ----------
информация на сайт не обновляется, все почистил, на все папки в аплоадс поставил права 644.
ЗЫ Из плагинов только Google XML Sitemaps и Платинум СЕО пак. Зараженный сайт работал без проблем, точно так же, внешне никак не выражается, только когда полез по фтп посмотреть.
Да в самом WP может быть одна переменная которая пропускает какие-то кавычки и гаплык 🤪🤪🤪 вот буду сейчас изучать поведение взломщика, выявлять точку проникновения :D
пользуюсь только официальным репозиторием, все плагины с давней историей, используются и на других сайтах, но зараза обнаружена только на 1. Новое ничего не подгружаю, движок обновляется. Пострадавший сайт - трехлетний, на котором давно ничего не добавлялось, на домене 3 уровня с посещаемостью в 10 человек.
---------- Добавлено 04.07.2013 в 17:27 ----------
да, какие-то папки появились, но были грохнуты. Очень похоже, что сабжевый файл - шелл. Код не смотрел, но могу полезть и выковырять из бэкапа.
Понимаете ли.... есть такое выражение например "если у вас нет паранойи это не означает , что за вами не следят"... точно так же и тут, то что у вас сломали всего 1 сайт из 10-20-50 вовсе не говорит, что дыра только в нем, остальные сайты могли просто не попасть в поле зрения\интереса по каким-то причинам, согласитесь и без ваших 10-20-50 сайтов есть куча других WP :)
Ну а коды приблизительно во всех случаях одинаковы, все что можно уже порезано, остается mail... пора наверное переводить локальных пользователей на авторизацию по SMTP... хотя это теряет смысл ввиду возможности компроментации акаунтов посредством WP и.т.д.....