Как вылечить сайт на wordpress?

Question

[ZaurK]

Здравствуйте! Подхватил вирус на вордпресс, в корне появляются какие-то файлы. Посоветуйте пожалуйста, как избавиться от этой заразы.
Собственно волнуют следующие вопросы:
1. Можно ли не переделывая тему проверить и в случае заражения вылечить ее? Я предполагаю, что вирус мог и там обосноваться, хотя не уверен - при просмотре не заметил ничего подозрительного в самой теме.
2. Можно ли проверить саму базу на наличие вирусов?
3. Мог ли вирус обосноваться в папке аплоад?
На сайте уже есть определенная информация, поэтому хотелось бы сохранить загруженные файлы и базу, а не загружать все заново. Да и тему заново верстать нет возможности.

Comments

[Дмитрий]

1 можно
2 да, можно
3 да, мог

[ZaurK]

Дмитрий: ))) а не поделитесь как это сделать? По всем трем пунктам как проверить и в случае заражения вылечить?

[Дмитрий]

ZaurK: самое простое - засунуть текущее файло в гит, накатить сверху версию с бэкапа (если есть) или записать сверху точно такие же версии плагинов/шаблона/движка.
И сравнить.
Все, что отличается - происки хакеров.

Можно использовать сканеры вроде айболита, но они могут ловить не все. Но все равно нужно будет самому сидеть и разбираться.

Вариант чтоб вообще самоу не разбираться, тоже есть. Называется "нанять фрилансера")

[ZaurK]

Дмитрий: Спасибо, так и сделаю

Answer 1

[Roman]

Используй сканер AI-Bolit, на некоторых хостингах он есть, например Beget
1. 2. 3. всё можно, надо сидеть и разбираться
Тема чистая или скачена с недоверенного сайта?
Когда всё вычистишь гугли как настраивать «безопасность»

Comments

[ZaurK]

Тема своя, нигде не скачивал, есть вариант на компе, просто у меня параноя начинается насчет "а вдруг вирус и на компе залез в тему")) посмотрю айболитом. А так я ядро и базу новые залил, единственное тема и файлы загрузок волнуют. Дело в том, что на рабочем сайте было много файлов загружено и записей, которых на локальном варианте нет, поэтому есть опасения вдруг в них вирус засел...

[ZaurK]

Допустим файлы я проверю, а как быть с базой? Достаточно ли дамп базы проверить тем же айболитом?

Answer 2

[igorux]

Проверьте версию timthumb.php, это самая популярная уязвимость.
Даже есть специальный плагин.

Answer 3

[SunHere]

1. Сайтов на хостинге несколько?
2. Может плагин какие скачивали левые.
3. Версия вордпресса последняя 4.8 ?
4. Вы пишите что тема ваша собственная, тогда она врядли будет источником заражения( но вирусам ничто не мешает записать вирусный код в тему рабочую)

Answer 4

[ZaurK]

Два сайта стоят, схожие проблемы. Из плагинов ставил smart slider 3, tyny mce advanced и contact form 7, вроде нормальные они. Что интересно поставил схожую версию сайта на знакомый мне хостинг, стоит и проблем не замечаю. Ушли на новый хостинг поставил с чистого листа вордпресс 4.8, базу новую, тему проверил каждый файл и подозрительные места нашел и удалил, также проверил сайт на айболите, тоже какие-то зараженные места удалил, создал в репозитории версию на всякий случай и залил на хостинг, прописал новые dns...утром бац и снова вирус, причем он заметен только на телефоне и планшете. Коллега говорит, что дело не в сайте, а в том, что еще не до конца обновился днс. Пока смотрим наблюдаем...

Answer 5

[nojoke]

Если не хочется разбираться самому как вылечить зараженный сайт от вирусов, можно обратиться сюда: www.secbot.org/vylechit-sait-ot-virusov/

Answer 6

[Михаил Есенин]

В файлах вирус мог обосноваться очень глубоко. Если проверили всё руками и точно уверены, что его там нет, то можно посмотреть на другие вектора внедрения (хотя я бы всё же попросил специалиста глянуть код).
Другие вектора:
- логины/пароли от FTP - вы могли переехать на новый сайт, но если ваш комп заражён и злоумышленники знают, куда вы заходите и что вводите, но и новые пароли они перехватят автоматически.
- дыры в компонентах сайта - возможно, это целевая атака, кто-то специально вас ломает. Тогда проверьтесь через Acunetix, Metascan, Detectify, чтобы найти возможные дыры для заливки шелла, внедрения SQL-инъекций и так далее.