Как определить вредоносные строки .htaccess?

Question

[Сергей Смирнов]

Достался в подарок сайт, но поиске Гугл, главную страницу поисковик определяет как взломаную и прислал письмо, чтобы я разобрался. Вроде как перенаправление идёт с моего сайта. С компьютера никакого перенаправления нет, а вот вроде как со смартфона переадресация продолжается.

Я сменил главную страницу сайта, удалил подозрительный слайдер (некоторые онлайн проверки на него показывали), вообщем абсолютную чистую страницу сделал. Отправил письмо гугл, чтобы опять проверили мой сайт. Пришло письмо, с которого я и узнал, что проблема не решена и :

Проверьте свой сайт на смартфоне и Вы увидите, что он перенаправляет пользователей на спамный домен. Если смартфона под рукой нет, можно воспользоваться эмулятором мобильных устройств в Chrome (developer.chrome.com/devtools/docs/device-mode), где в качестве устройста можно указать, например, Google Nexus 5 или Apple iPhone 5. При таком виде взлома злоумышленник часто вносит изменения в Ваш файл .htaccess. Ознакомьтесь с этими случаями из практики: , а затем проверьте свой файл .htaccess на предмет неожиданных изменений

Собственно вот и вопрос: я не спец в этих htaccess, как разобраться что в этом файле нужное, а что вредоносное?

RewriteEngine On
RewriteCond %{HTTP_REFERER} !^http://feeds.feedburner.com/InplastCompany$ [NC]
RewriteCond %{HTTP_REFERER} !^http://www.yandex.ru/.*$ [NC]
RewriteCond %{HTTP_REFERER} !^http://yandex.ru/.*$ [NC]
RewriteCond %{HTTP_REFERER} !^http://yandex.ru$ [NC]
RewriteCond %{HTTP_REFERER} !^http://blogs.yandex.ru/.*$ [NC]
RewriteCond %{HTTP_REFERER} !^http://blogs.yandex.ru$ [NC]
RewriteCond %{HTTP_REFERER} !^http://images.yandex.ru/.*$ [NC]
RewriteCond %{HTTP_REFERER} !^http://images.yandex.ru$ [NC]
RewriteCond %{HTTP_REFERER} !^http://www.google.ru/.*$ [NC]
RewriteCond %{HTTP_REFERER} !^http://www.google.ru$ [NC]
RewriteCond %{HTTP_REFERER} !^http://google.ru/.*$ [NC]
RewriteCond %{HTTP_REFERER} !^http://google.ru$ [NC]
RewriteCond %{HTTP_REFERER} !^http://images.google.ru/.*$ [NC]
RewriteCond %{HTTP_REFERER} !^http://images.google.ru$ [NC]
RewriteCond %{HTTP_REFERER} !^http://www.google.com/.*$ [NC]
RewriteCond %{HTTP_REFERER} !^http://www.google.com$ [NC]
RewriteCond %{HTTP_REFERER} !^http://google.com/.*$ [NC]
RewriteCond %{HTTP_REFERER} !^http://google.com$ [NC]
RewriteCond %{HTTP_REFERER} !^http://images.google.com/.*$ [NC]
RewriteCond %{HTTP_REFERER} !^http://images.google.com$ [NC]
RewriteCond %{HTTP_REFERER} !^$ [NC]
RewriteRule .*\.(jpe?g|gif|bmp|png)$ - [F]
RewriteRule .*\.(.*.*.*jpg|jpeg|gif|png|bmp)$ http://sau.su/57f20dab4ce6da79ccf9aa5529e70707/prison.jpg [L]
FileETag MTime Size
<ifmodule mod_expires.c>
<filesmatch ".(jpg|gif|png|css|js)$">
ExpiresActive on
ExpiresDefault "access plus 1 year"
</filesmatch>
</ifmodule>
<ifModule mod_gzip.c>
 mod_gzip_on Yes
 mod_gzip_dechunk Yes
 mod_gzip_item_include file \.(html?|txt|css|js|php)$
 mod_gzip_item_include handler ^cgi-script$
 mod_gzip_item_include mime ^text/.*
 mod_gzip_item_include mime ^application/x-javascript.*
 mod_gzip_item_exclude mime ^image/.*
 mod_gzip_item_exclude rspheader ^Content-Encoding:.*gzip.*
</ifModule>
RewriteEngine On
RewriteCond %{REQUEST_METHOD} POST
RewriteCond %{REQUEST_URI} .wp-comments-post\.php*
RewriteCond %{HTTP_REFERER} !.*inplast-nn.ru.* [OR]
RewriteCond %{HTTP_USER_AGENT} ^$
RewriteRule (.*) ^http://%{REMOTE_ADDR}/$ [R=301,L]





# BEGIN WordPress
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>

# END WordPress

Answer 1

[Сергей Горячев]

У вас же Вордпресс, возьмите чистый домен, поставьте его и перенесите хтакцесс нормальный. Они все типовые.

Comments

[Сергей Смирнов]

и чего я сам не додумался))) заменил. Пойду писать опять в гугл

Answer 2

[ramjke]

Уберите следующие строки и всё будет ок

ExpiresActive on
ExpiresDefault "access plus 1 year"

RewriteRule .*\.(.*.*.*jpg|jpeg|gif|png|bmp)$ sau.su/57f20dab4ce6da79ccf9aa5529e70707/prison.jpg [L]
FileETag MTime Size
RewriteCond %{HTTP_REFERER} !^feeds.feedburner.com/InplastCompany$ [NC]

Другой вопрос - а как эти строки там оказались?
Переместите htaccess на директорию выше и сделайте к нему права 644

Comments

[Сергей Смирнов]

Заменил вобще всё содержимое на:

# BEGIN WordPress

RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]

# END WordPress

Как оказались не знаю, старый админ был наверное "профи"