Взлом Wordpress на сервере apache linux - в файлах не обнаруживается изменений [дубликат]
На этот вопрос уже есть ответ здесь:
- Как мне поступить с взломанным сервером? 13 ответов
У меня странный случай взлома с одним моих сайтов на wordpress. Это небольшой сайт, в основном показывает 5 сообщений в блоге о том, будет ли офис открыт / закрыт. Это не слишком сложно или что-то в этом роде, но оно было взломано и теперь перенаправляет на некоторые сайты со спамом / вредоносным ПО.
Обычно сайт загружает страницы и примерно через 3 секунды выполняет перенаправление. Я проверил header.php, index, footer и не вижу ничего очевидного, к тому же они не были указаны как изменяемые. Еще одна странность: я запустил команду linux для поиска файлов, которые были изменены за последние 10 дней, и вернулись только те, которых я коснулся, проверяя эти перенаправления и выполняя: wq with vi. Не похоже, что что-то на стороне php / backend выполняет это перенаправление.
Он размещен на сервере apache linux. Могу ли я где-нибудь еще проверить, выполняется ли это перенаправление? Если что-то вызывает это в файлах php, не будет ли он выполнять перенаправление немедленно, вместо того, чтобы загружать сайт? Нет .htaccess, и я не вижу ничего очевидного в файле apache.conf.
Покопавшись, я обнаружил, что на всех страницах есть несколько инъекций скриптов.Сценарий перенаправляет на страницу, где есть вредоносный контент. Однако контроль версий wordpress не сообщает, что эти страницы редактировались. В нем нет ничего исторического, что бы выглядело так, как будто это произошло. Возможно ли, что что-то было изменено в wp-admin, чтобы внедрить эти скрипты в редактор? Или если вы вносите изменения в базу данных wordpress для страницы, разве это не создает новую версию? Где мне это проверить? Какие разрешения должны быть у моего сайта wordpress?
Спасибо за помощь!
Если ваш сервер был взломан, то злоумышленник имеет полную возможность обойти все элементы управления версиями приложений через черный ход, включая встроенные версии страниц Wordpress и метки времени. Также можно фальсифицировать дату, измененную в файлах, как отмечено здесь: https://askubuntu.com/questions/62492/how-can-i-change-the-date-modified-created-of-a-file.
Существует множество различных специфических способов создания вредоносной программы для имплантации скриптов перенаправления на каждую страницу, поэтому без анализа конкретной вредоносной программы невозможно точно сказать, как она была создана. Некоторые простые JavaScript могли бы полностью обнаружить, вошли ли вы в систему через панель инструментов или нет, и только запустить код перенаправления на общедоступном сайте.
Я бы порекомендовал обратиться к этим шагам для ответа на взломанный сервер: Как мне поступить со взломанным сервером?