Как вылечить взломанный WordPress?

Question

[deserteer]

Ссылка на отчёт сканера. https://rescan.pro/result.php?8c7f3ce78df97a9da447...
На хостинге стоит Ai Bolit, он ничего не находит.
Я не могу удалять и ставить плагины, редактировать код темы, хотя я администратор, и на всякий случай создал ещё одного администратора через MySQL.
На сайте поисковый редирект, как пишет сканер выше. А ещё с меня требуют деньги за лечение через обратную связь сайта :)
Все файлы заменил под чистую, оставлял только uploads и includes и wp-config. htaccess оригинальный. Footer и Header и functions я скопировал с других своих сайтов. Тема одна, платная качаю с репрозитория WP.
Подскажите, как вылечить сайт?
Ссылка на сайт, сжал на всякий пожарный https://u.to/1bSEFA

Answer 1

[Орхан Гасанлы]

Я не эксперт по безопасности))) Но что, если проблема не в сайте, а в домене. Т.е. домен попал в БД яндекса, как распространитель malware?
Что касается самого ВП - установите плагин Wordfence и просканируйте сайт.

Comments

[deserteer]

Я не могу ставить плагины. WP считает меня не администратором.

[Орхан Гасанлы]

Я не могу ставить плагины. WP считает меня не администратором.

можно через БД восстановить админ права - https://www.role-editor.com/restore-lost-wordpress...

[deserteer]

azerphoenix, я через БД создал второго админа, и всё равно он не админ. Я попробую ещё раз и отпишусь.

[Орхан Гасанлы]

deserteer, обратите внимание, что простое создание юзера не поможет. Надо корректно прописать wp_capabilities

a:1:{s:13:"administrator";b:1;} прочитайте статью, которую скинул выше

[deserteer]

azerphoenix, я создал его именно с этой строчкой. wp_capabilities именно
a:1:{s:13:"administrator";b:1;}. Но я всё равно не администратор, не могу ставить плагины.
Из вашей статьи 3й пункт я не смог выполнить у меня нет никаких бэкапов в БД, Пункт 3 действие 1 (код ниже) не выдаёт данных, пустые поля и только заголовки.

SELECT * FROM wp_options WHERE option_name='wp_backup_user_roles';

[Орхан Гасанлы]

deserteer,
я бы посоветовал еще попробовать следующее -
включить режим repair в wp-config вдруг поможет.
https://www.maketecheasier.com/fix-corrupted-wordp...
добавить в wp-config.php
define('WP_ALLOW_REPAIR', true);
yoursite.com/wp-admin/maint/repair.php

Если это не поможет, то как вариант -
установить чистый ВП с чистой БД. Нужные таблицы (wp_posts, wp_postmeta перекинуть из старого).

Я же правильно понимаю, что вы не можете установить плагины, так как у вас нет такого функционала? Иногда даже будучи админом нет возможности установить плагины, если наблюдается проблема с chmod (755 папки, 644 файлы) или пользователь APACHE отличается. Но в этом случае обычно, ВП просит указать фтп доступ.

[deserteer]

azerphoenix, я взял wp_user_roles с другого чистого сайта, и вставил в БД этого сайта. Да, там были различия, но результата это не дало. Я совершенно со всем этим делом не знаком, и просто пытаюсь размышлять логически, но очевидо, это так не работает.

[Орхан Гасанлы]

deserteer,

я взял wp_user_roles с другого чистого сайта, и вставил в БД этого сайта.

тут какой нюанс, что могли не совпасть ID юзеров обладающих админ. правами.

[deserteer]

Я же правильно понимаю, что вы не можете установить плагины, так как у вас нет такого функционала? Иногда даже будучи админом нет возможности установить плагины, если наблюдается проблема с chmod (755 папки, 644 файлы) или пользователь APACHE отличается. Но в этом случае обычно, ВП просит указать фтп доступ.

Да, я думаю, что вы меня поняли правильно, просто обратите внимание на скриншот. Ни обновить WP, ни установить что-то, ни удалить.
Я попробую, и дам Вам знать. Я Вам очень благодарен за помощь.

[Орхан Гасанлы]

deserteer, судя по скрину, проблема не в правах chmod или правах владельца apache, а скорее именно в ВП.

[deserteer]

azerphoenix, вы правы. Я совершил ошибку. Из-за сложной и не интуитивной структуры хостинга hostland, я заменил все файлы не на том сайте.
Извините что отнял так много времени, и спасибо большое, я решил проблему удалив и установив файлы WP через FTP. Вот наглядная инструкция для всех https://www.youtube.com/watch?v=cSXySPMFMFw&t=93s

[Орхан Гасанлы]

deserteer, бывает) сколько раз я сносил левые сайты по ошибке, благо бекапы были))

Answer 2

[Михаил Есенин]

Уверены, что проблема именно в Wordpress, злоумышленники никак больше не могли к вам попасть? Например, украв учётки к MySQL или FTP - смените пароли, если есть возможность.

Предполагаю, что прав на админские действия нет из-за изменений в базе: откатитесь к бэкапу или просмотрите вручную подозрительные записи. Не лишним будет посмотреть историю запросов к MySQL, если есть возможность на хостинге.

С файлами всё логично сделали, ещё разрешения лишние на запись и исполнение советую убрать.

Если не получится ничего найти внутри, то проверьте сайт снаружи на дыры с помощью https://metascan.ru, https://detectify.com или https://acunetix.com. Это онлайн-сканеры безопасности, они выдадут вам более подробные отчёты о дырах в безопасности, чем rescan.

Да, и проблема не в домене, как писали выше, домен попал в черный список из-за установленного редиректа, что логично.

Comments

[deserteer]

Уверены, что проблема именно в Wordpress, злоумышленники никак больше не могли к вам попасть? Например, украв учётки к MySQL или FTP - смените пароли, если есть возможность.

Я думаю, что злоумышленники украли доступы в реале, а не в интернете, но это моя догадка.

Предполагаю, что прав на админские действия нет из-за изменений в базе: откатитесь к бэкапу или просмотрите вручную подозрительные записи. Не лишним будет посмотреть историю запросов к MySQL, если есть возможность на хостинге.

Я уверен (но я не очень хорошо разбираюсь, поэтому это всё с высоты моего полёта), что проблема не в WP и его файлах. Я заменил все файлы WP на чистые. Значит какая-то гадость в БД. Но меня сейчас осенило, что я хоть и удалял с FTP файлы WP (кроме uploads и пр.) я не ставил плагины назад. Значит, я что-то сделал не так. Однако, я их точно заменял.

Попробую всё из перечисленного и дам знать, спасибо!

[deserteer]

Анализ тех сайтов, что вы дали, не показали вирусов. Как и я и говорил:

Но меня сейчас осенило, что я хоть и удалял с FTP файлы WP (кроме uploads и пр.) я не ставил плагины назад. Значит, я что-то сделал не так.

Я совершил ошибку. Из-за сложной и не интуитивной структуры хостинга hostland, я заменил все файлы не на том сайте.

Сейчас сайт позволяет мне выполнять манипуляции, и всё хорошо. Спасибо большое за помощь!

Answer 3

[rPman]

Вы уверены что ваш сайт действительно заражен?
yandex ничего не пишет ни про какую майлварь
Отчет этого 'якобы антивирус' не содержит никаких подробностей воспроизведения этого редиректа и т.п.

Добавьте сайт тут и посмотрите что получится
https://webmaster.yandex.ru/site/diagnosis/checklist/

Comments

[deserteer]

Я уверен, потому что вмешательство было. Я не могу ставить плагины.
На сайте есть такая строчка "Вышел WordPress 5.03 сообщите об этом администратору". Какому администратору если это я?

[deserteer]

Действительно, по этим ссылкам есть редирект

[rPman]

Начинайте изучать что это за ссылки, вполне возможно что это документы в базе данных, сохраненные обычным пользовательским аккаунтом который вы забыли отключить или езще каким способом созданные злоумышленником, удалите эти документы, закройте дыру через которую они были созданы и т.п.

[deserteer]

Я могу удалить эти страницы, но мне нужно вернуть контроль над сайтом. Как это сделать, я не знаю.

закройте дыру через которую они были созданы и т.п.

Я в любом случае благодарен Вам за уделённое мне время, но Вы же понимаете, что это всё равно что врач ответил бы Вам на вопрос "Доктор, я заболел гриппом, что делать?" – "Лечитесь".

Answer 4

[Федор Рождественский]

Рекомендую поставить на сайт RSFirewall! WordPress plugin Он системно будет отсекать дыры в безопасности.

Comments

[deserteer]

А что на счёт WordFence?

[Федор Рождественский]

Не знаю. WordFence дороже чуток. И не знаю как там с тех. поддержкой. А команда RSFirewall! живо так реагирует. Явно где-то дыра. Надо закрывать.