验证我是否已完全删除WordPress的黑客攻击?

时间:2011-06-10 作者:Jeff Atwood

My for fun WordPress博客位于http://fakeplasticrock.com (运行WordPress 3.1.1)遭到黑客攻击--它显示<iframe> 在每一页上都是这样:

<iframe src="http://evilsite.com/go/1"></iframe>
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd"> 
<html xmlns="http://www.w3.org/1999/xhtml" xml:lang="en" lang="en"> 
我做了以下事情

通过内置WordPress升级系统升级到3.1.3Exploit Scanner (对不寻常的文件发出大量严重警告)以及AntiVirus (这显示了所有的绿色和干净,所以我在运行后卸载并删除了它)

  • 更改了MySQL密码
  • 通过FTP连接并下载了整个文件系统(不太大,这是一个仅限WordPress的Linux共享主机)
  • 将文件系统与WordPress 3.1.3的官方ZIP进行了区分,并删除了任何不匹配的内容

    磁盘上的所有文件都是官方WordPress 3.1.3文件,除我的文件外,磁盘上没有其他文件/theme, 漏洞扫描器插件(我刚刚下载的),以及/uploads 文件夹和少量其他预期文件。我的另一个插件wp recaptcha与当前官方下载的版本相匹配.htaccess 文件中没有任何错误wordpress 3.1.3 file compare in Beyond Compare

    I did not touch the database, 但我很难想象,如果没有特殊的PHP代码,数据库中的任何东西怎么可能是恶意的?

    我的WordPress博客现在看起来不错,没有黑客攻击(我想),但还有什么我应该检查的吗?

  • 12 个回复
    最合适的回答,由SO网友:Chip Bennett 整理而成

    你确定了漏洞载体了吗?如果没有,你可能会让自己在未来被利用。

    其他需要考虑的事项:

    更改WordPress管理员用户密码-完成更改托管帐户用户密码FTP passwords

  • 更改MySQL db用户密码-完成Change the db table prefix
  • 更新您的wp-config nonces/saltdirectory/file permissions.htaccessHardening WordPress 食品法典条目FAQ My Site Was Hacked 食品法典条目

  • SO网友:Dillie-O

    查看Google Chrome的“安全浏览”消息,你会发现“.cc-iFrame-hack”最近似乎经常出现。我认为3.1.3会解决这个问题,但请检查您的索引。如果你的网站在根目录下有php文件,那就是它不断攻击我的地方,直到我更新了所有内容并更改了密码。

    人们可以通过帖子和评论注入来做一些非常棘手的事情。您可以对您的数据库运行以下查询,以帮助查找其中的一些查询,我在“跟踪”的其余部分都在博客中记录了这些查询here.

    SELECT * FROM wp_posts WHERE post_content LIKE \'%<iframe%\'
    UNION
    SELECT * FROM wp_posts WHERE post_content LIKE \'%<noscript%\'
    UNION
    SELECT * FROM wp_posts WHERE post_content LIKE \'%display:%\'
    UNION
    SELECT * FROM wp_posts WHERE post_content LIKE \'%<?%\'
    UNION
    SELECT * FROM wp_posts WHERE post_content LIKE \'%<?php%\'
    
    SELECT * FROM wp_comments WHERE comment_content LIKE \'%<iframe%\'
    UNION
    SELECT * FROM wp_comments WHERE comment_content LIKE \'%<noscript%\'
    UNION
    SELECT * FROM wp_comments WHERE comment_content LIKE \'%display:%\'
    UNION
    SELECT * FROM wp_comments WHERE comment_content LIKE \'%<?%\'
    UNION
    SELECT * FROM wp_comments WHERE comment_content LIKE \'%<?php%\'
    
    希望这有帮助!

    SO网友:fuxia

    数据库也可能包含恶意代码:隐藏的用户帐户或打印在某处的值。此外,请检查上载目录中不属于该目录的文件。

    哦,试着了解攻击者是如何进入你的网站的。在共享帐户上,它通常是整个服务器。Check the other sites 在服务器上查找被黑客攻击的博客或其他页面。阅读FTP日志。如果你不知道它是怎么发生的,你就无法阻止下一次休息。

    SO网友:TheDeadMedic

    很抱歉听到你被黑客攻击了-看起来你的恢复工作做得很好!

    你的文件系统听起来很好,我不会说你在这里还能做什么。

    我认为,如果漏洞扫描程序在您的数据库中发现任何脚本、iframe、PHP(尽管只有在eval\'d时才危险)或其他异常代码,它会发出警告。

    我不确定它是否检查POST&;以外的表;评论,可能值得一看/wp-admin/options.php 快速看一眼,看看你是否发现了什么奇怪的东西。

    我还将检查MySQL客户端中的用户表(用户可能在数据库中,但在管理中不可见)。

    SO网友:Jon Galloway

    检查谷歌网站管理员工具,了解两件事:

    验证您的站点是否未被标记为已被破坏,如果已被标记为已被破坏,请重新考虑。请以Googlebot的身份检查您的站点,并验证没有插入仅对Googlebot可见的垃圾邮件-例如WP Pharma hack。此外,我会重新执行主题,或非常仔细地检查它。几行PHP可以重新定义核心PHP函数,以便从数据库中提取恶意代码,尤其是wp\\U选项键/值存储表

    SO网友:markratledge

    通过phpmyadmin搜索数据库中的“iframe”,或转储数据库并搜索文本。

    并在用户表中检查不可见的用户;我在WP Admin>>用户中没有显示的表中看到过用户。

    Clean Options « WordPress Plugins 将显示数据库中遗留的旧插件和可能易受攻击的插件中的垃圾。

    您的主题也缺少<head> 标记,以便在您编辑主题以删除错误链接时进行检查。

    和往常一样:和How to find a backdoor in a hacked WordPressHardening WordPress « WordPress Codex

    SO网友:Tom Chiverton

    “还有什么需要我检查的吗?”您需要检查您的流程,找出您是如何被黑客攻击的(几乎可以肯定,因为您没有及时或正确地进行修补),并解决这一问题,而不仅仅是症状。

    SO网友:kaiser

    这件事曾经发生在我身上,通过mediatemple上的一个漏洞。我必须编写一个插件来检查数据库中的注入链接。你可以抓住它here as a github gist.

    它对用户非常友好,有几个步骤可以提供反馈,并在完成后重新检查数据库。

    祝你好运

    SO网友:Eric Allison

    我有一个非常类似的黑客,我不得不修复我的一个客户网站。

    文件系统中存在恶意脚本(php base64\\u decode stuff)。但是,数据库“发布”&;\'注释表已被破坏,iframe代码也分散在这些数据中。

    为了安全起见,我至少会在数据库上进行一些搜索。:)

    SO网友:Wyck

    检查插件!,今年到目前为止,已发布了60个漏洞利用版本。org插件,我怀疑实际数字要高得多,因为没有人真的全职这么做。

    您列出了您只有一个插件,它有一个安全漏洞(不知道它存在多长时间,可能不是向量)。

    wp recaptcha插件漏洞发布日期:2011年3月18日漏洞版本:2.9.8

    作者表示他是用3.0版重写的,但没有提到安全补丁。

    http://www.wpsecure.net/2011/03/wp-recaptcha-plugin/

    更改日志:http://wordpress.org/extend/plugins/wp-recaptcha/changelog/

    SO网友:xLRDxREVENGEx

    我使用云服务器,并且有随机的古怪ssh端口号,根本没有ftp。密码很难破解。所有根目录访问都被完全拒绝。我同意WordPress不会是你的罪魁祸首。另一件要检查的事情是ftp会话没有关闭,个人电脑上有病毒(请记住,你可以将文件上传到你的网站,任何加载过该文件的人都可能会感染相同的病毒),也不要将密码保存在公共网站或私人网站上,始终将其正确记录在纸上,永远不要在word文档或记事本上。

    最后,询问您的主机最近是否有漏洞,因为他们应该设置防火墙

    SO网友:powtac

    检查文件的日期。任何文件的更改数据都不应比上次编辑/安装更新!

    但这也可能是伪造的。确保的唯一方法是将所有文件与原始安装文件进行比较(例如,哈希比较)。

    结束

    相关推荐

    Security and .htaccess

    大约一个月前,我在一个与爱好相关的托管服务器上创建了一个WordPress博客。所以,我目前还不熟悉这一点。由于我担心安全性,我做的一件事就是安装插件WP安全扫描。根据插件结果,我的网站会被检查出来,但我在结果中看到的是一个红旗:文件。wp admin中不存在htaccess/(我在那里ssh了,它不存在)好的,所以我在这个问题上做了大量的搜索,找到了太多的信息。htaccess。我在WordPress上经历了强化WordPress。org网站等,也遇到了这篇文章:http://digwp.com/201