В footer.phpпоявился странный код. Помогите декодировать.

Не важно что там. Нужно искать, как он туда попал.

Так же смотрите, что у вас в файле:

wp-content/class-image.php

Туда что-то складывается.

Это Вас взломали - надо востановить весь сайт из чистой копии и поставить защитный плагин типа wp_better , большая вероятность что это взломали SQl инъекцией.

я подозреваю что туда всё это добро попало из одной "варезной" темы. Каюсь, виноват.

class-image.php найден, но не много в другом месте, он в аттаче.

Ну короче, это сам файл шелла.

Сжали раз на 50, наверное, чтобы обычные юзеры не догадались.

---------- Добавлено 08.02.2014 в 22:13 ----------

Что за файл можете тут посмотреть: http://pastebin.com/a7QhGiir

Кто уже выложил.

Спасибо. Буду лечить.

Здравствуйте. На хостинг к сайтам на движке wordpress заливаются такие же файлы class-image.php как и у атвора темы .

После удаления и смены всех паролей появляется вновь =(

Так же ssh показвает на изменение файла темы footer.php , Но там ничего опасного не заметил (Сверял с оригиналом).

Вот логи :

192.162.19.174 - - [04/Feb/2014:09:38:06 +0400] "GET /?pagehash=371425ff7acc4360c86d097ebe9eb082&cperpage=1 HTTP/1.0"

192.162.19.174 - - [04/Feb/2014:09:38:31 +0400] "GET /wp-admin/ HTTP/1.0" 200 46009 "-"

192.162.19.174 - - [04/Feb/2014:09:42:01 +0400] "GET /wp-admin/theme-editor.php HTTP/1.0"

192.162.19.174 - - [04/Feb/2014:09:42:02 +0400] "GET /wp-admin/theme-editor.php?file=footer.php&theme=CookingBlog HTTP/1.0"

192.162.19.174 - - [04/Feb/2014:09:42:02 +0400] "GET /wp-admin/theme-editor.php?file=footer.php&theme=Hcms HTTP/1.0"

192.162.19.174 - - [04/Feb/2014:09:42:02 +0400] "GET /wp-admin/theme-editor.php?file=footer.php&theme=Spa_Full HTTP/1.0"

192.162.19.174 - - [04/Feb/2014:09:42:03 +0400] "GET /wp-admin/theme-editor.php?file=footer.php&theme=Hcms HTTP/1.0"

192.162.19.174 - - [04/Feb/2014:09:42:03 +0400] "GET /wp-admin/theme-editor.php?file=footer.php&theme=minefun HTTP/1.0"

192.162.19.174 - - [04/Feb/2014:09:42:03 +0400] "GET /wp-admin/theme-editor.php?file=footer.php&theme=TheProfessional HTTP/1.0"

192.162.19.174 - - [04/Feb/2014:09:42:04 +0400] "GET /wp-admin/theme-editor.php?file=footer.php&theme=menhu HTTP/1.0"

192.162.19.174 - - [04/Feb/2014:09:42:04 +0400] "GET /wp-admin/theme-editor.php?file=footer.php&theme=twentyten HTTP/1.0"

192.162.19.174 - - [04/Feb/2014:09:42:05 +0400] "POST /wp-admin/theme-editor.php HTTP/1.0"

192.162.19.174 - - [04/Feb/2014:09:42:05 +0400] "GET /wp-admin/theme-editor.php?file=footer.php&theme=twentyten&scrollto=0&updated=true HTTP/1.0"

192.162.19.174 - - [04/Feb/2014:09:42:05 +0400] "GET / HTTP/1.0"

192.162.19.174 - - [04/Feb/2014:09:42:06 +0400] "GET /wp-content/languages/themes/class-image.php HTTP/1.0"

192.162.19.174 - - [04/Feb/2014:09:42:06 +0400] "POST /wp-admin/theme-editor.php HTTP/1.0"

192.162.19.174 - - [04/Feb/2014:09:42:06 +0400] "GET /wp-admin/theme-editor.php?file=footer.php&theme=twentyten&scrollto=0&updated=true HTTP/1.0"

Строчка "GET /?pagehash=371425ff7acc4360c86d097ebe9eb082&cperpage=1 HTTP/1.0" как я понимаю это кэш браузера? ( подставив в начало название сайта и обновив открывается главная страница уже с выполненным входом в админку)

Пробывал переустановить бразуер(гугл хром), компьютер проверял касперским, безрезультатно. Что еще можно предпринять. Спасибо

Та же проблема с wordpress.

Новые плагины не устанавливались давно. Обновляюсь практически сразу.

Заливаю на сайт в папку uploads новые версии доступных для скачивания файлов и вижу там class-image.php ...

Удалил, на следующий день опять появился.

Потом установил капчу и сменил пароли... 2-4 дня ничего не было, но сегодня опять появился. Удалил. Пошерстил в исходном коде все страницы, в т.ч. все файлы в редакторе wp. Footer темы - пусто. Нет подозрительного кода.

Сайтик очень простенький, изменения в коде почти сразу видно...

Та же проблема с wordpress.

Новые плагины не устанавливались давно. Обновляюсь практически сразу.

Заливаю на сайт в папку uploads новые версии доступных для скачивания файлов и вижу там class-image.php ...

Удалил, на следующий день опять появился.

Потом установил капчу и сменил пароли... 2-4 дня ничего не было, но сегодня опять появился. Удалил. Пошерстил в исходном коде все страницы, в т.ч. все файлы в редакторе wp. Footer темы - пусто. Нет подозрительного кода.

Сайтик очень простенький, изменения в коде почти сразу видно...

Вот тут вкратце описано решение и как искать. Это троян в темах блога, часто встречается в бесплатных темах с левых сайтов.

Скорей всего у вас уже есть лишнее на сайте, потому вы и не видите изменения, а только уже загруженные новые вредоносные кода.

Нужно проверять рабочий код сайта на предмет вредоносных кодов.