Сайт на wordpress грузит левый .js, как найти источник?

Question

[newbot]

Один из моих сайтов грузит скрипт с www.29wp.org/jquery.js. Искал по этому домену - ничего найти не смог, кроме того что домен зареган на Панаме. До этого обнаружил немало phpdoors на этом же сайте. Вопрос - как обнаружить причину, каким образом все еще добавляется данный код на страницу и "вылечить" wordpress?

Answer 1

[Орхан Гасанлы]

1) Проверьте файлы темы - в частности header footer functions
2) Проверьте плагины (если есть "премиум" nulled плагины, то удалите их или проверьте их файлы)
3) Просканируйте Wordfence'ом
4) Проверьте БД на наличие "лишних" таблиц
5) Установите Query Monitor, найдите handle скрипта, который грузится и сделайте deregister (В том случае, если это не вирус, а просто jquery плагин)

P.S. не забываем про base64 и что ссылка может закодирована. Ну и на худой лад... скачать весь веб-сайт на локалку. И обычным редактором (Sublime, Notepad++) дать поиск во всех файлах на наличие этой ссылки))))

Comments

[newbot]

Отключили все плагины, затем добавлением выяснили проблемный плагин, поставили официальную купленную версию. К слову, исходники сравнил - там был лишний код, но его ни один антивирус не обнаружит - ничего плохого на первый взгляд не делает.

Троян / дыра в к-н скрипте всё-таки есть. На диске в папках появляются левые favicon_XXXXXX.ico.
Вопрос - как выяснить, какой скрипт создает этот файл? Система Amazon Linux.

[Орхан Гасанлы]

Я обычно код читаю и это мне помогает... Просто так сложно сказать...
Анализируйте ваш код, проверяйте плагины и БД. Обновите все плагины

[Bubble]

newbot, какой плагин оказался проблемным? У меня та же ситуация. Но только он не все время лезет на www.29wp.org, а рандомно. Сейчас нет, а через 10-15 загрузок опа - появилось. Перерыл весь сайт, никак найти не могу. При этом, у меня или купленные плагины или бесплатные версии.

[Орхан Гасанлы]

Bubble, если мне память не изменяет это был плагин WP Touch.
Но плагин может отличаться.. Вы наверное все плагины скачали ищ конкретного сайта, который и встраивает в обнуленные плагины вредоносный код

[Bubble]

azerphoenix, спасибо большое, что натолкнули меня на мысль. Я нашел. В моем случае это WP Super Slider. Мало того, я нашел, где он это делает и как. Довольно хитро. Если ты не гугльбот, то он лезет на сайт libwp.org за скриптом jquery-ui.js который генерит строку

<script type="text/javascript" src="http://www.29wp.org/jquery.js"></script>

Дальше это помещается в футер.

Answer 2

[Roman]

Проанализировать тему
Пересобрать сайт из чистого ядра и чистых плагинов из репозитория

Comments

[newbot]

То есть по сути на 100% вряд ли можно вычистить руками?
Пересобрать сайты - тоже была такая мысль, но как безопасно сделать бэкап контента, чтобы не перенести вирус дальше пока не придумал.
В любом случае, поставил антивирус на виртуалку, думаю, что должно быть лучше.

[Roman]

newbot, руками можно всё вычистить на 100%, это же руки
одно дело БД, другое php файлы ядра и плагинов
как вам антивирус поможет если уже есть внедрение - непонятно)

Answer 3

[alex-1917]

Где это видно? В консоли? Не забывай, что дыряв может быть и твой браузер! Т.е. скрипт грузится не сайтом, а твоим браузером, аналогичный эффект будет и на схожих сайтах)))

Comments

[newbot]

Это видно в консоле, но не только. Если просто чекнуть каким-нибудь https://tools.pingdom.com/ - он тоже грузит этот скрипт.

[alex-1917]

newbot, в любом случае, не в любом случае... если еще есть сайты на аккаунте хостинга, то тогда чистить все под ноль.
и да - скрин дали бы, что установлено или БЫЛО Установлено за все время жизни сайта. Иной раз заходишь к клиенту оценить стоимость работ по приведению сайта в адекватный вид - а там половина плагинов ворованные... ладно бы один.. дыг их там под десяток бывает, ворованных)))
А, и самое главное - что за скрипт, он и правда вредный? может тупо библиотека джиквери, как и название собсно))) просто горе-верстальщик не заморачиваясь перенес вам сайт со своего дев-аккаунта, а пути абсолютные. делов -то.. дырки мож и нет-то...

[newbot]

alex-1917, установили официальные купленные версии плагинов и левый js больше не грузится, так что это все-таки закладка была.