Вирус постоянно меняет права к файлам сайта на Wordpress?

Question

[Данил Трубицын]

На сайте были вирусы, которые были после нейтрализованы плагином Wordfence. Но, видимо, что-то осталось.

Симптомы такие:

• Что-то постоянно меняет права к файлам сайта
  
• Плагин Wordfence перестал вносить изменения в файл .htaccess
  

Такое возможно? Если да, то где искать негодяя?

Comments

[Игорь Мавлиханов]

Запросите лог по вашему сайту у хостинга. и может там увидите подозрительную активность

[Данил Трубицын]

Да, но какой именно лог?

[Roman]

Данил Трубицын: гуглите aibolit и если сами не разберетесь платите спецу за аудит безопасности

Answer 1

[Юрий Горбунов]

У вас где-то залит shell-скрипт. В идеале нужно все переустановить.
Wordpress в обязательном порядке, тему и все плагины. Если на сервере под одним пользователем несколько сайтов, то такой враг может быть в любом из них.

Если у вас есть доступ к серверу по SSH, то выполните команду

find . -type f -name '*.php' | xargs grep -l "x63" --color

или

find . -type f -name '*.php' | xargs grep -l "x47" --color

"точка" после find обозначает искать в папке, в которой находитесь, замените ее на путь к папке, где лежат ваш сайт или сайты или вообще заменить на слеш / тогда искать будет по всему серверу.

Команда ищет файлы в содержании, которых есть текст "x63" или "x47". В 99% случаях из таких кодов состоит шифровка вражеских вирусов. Обратите внимание на файлы, которые найдет команда. Откройте их и посмотрите содержание. Код вируса вы сразу увидите, он весь шифрованный base64 и присутствуют команды eval. Чистите или восстановите данные файлы на чистые.