Последствия взлома блога и защита wordpress

Как часто вы редактируете свои старые статьи? Думаю, что очень редко. Я тоже редко это делал. А зря. Как то понадобилось мне отредактировать ссылку в старой статье.  Открываю в редакторе и вижу лишний скрипт, который к ссылке не имеет никакого отношения.Так же код был в некоторых местах перед закрывающим тегом </p>.

Здрасьте, приехали. А как же защита wordpress, которую я применял до этого момента и считал её надежной? Выражаясь словами героя известного мультфильма оказалось, что «Маловато будет!»

Последствия взлома

В коде ссылки присутствовал следующий код

<script type="text/javascript" src="//shareup.ru/social.js"></script>

Причем этот код виден только в редакторе в режиме кода. В визуальном режиме, так же как и при просмотре сайта, код  не виден. Открыв рандомно несколько старых статей, в каждой в коде ссылок обнаружил этот странный скрипт.

Для поиска других вариантов использовал плагин Search Regex. В итоге нашел еще

<script src="//shareup.ru/social.js" type="mce-text/javascript"></script>
<script src="//shareup.ru/social.js" type="mce-mce-text/javascript"></script>

Был еще четвертый вариант, но я его удалил без сохранения. Причем левая часть «<script src=» была ссылкой

/wp-admin/tools.php?page=search-regex.php#

В некоторых файлах движка были строки

<?
#9269ad#
всякая шифрованная муть echo " шифрованная муть <script type="text/javascript" language="javascript" > шифрованная муть </script>";
шифрованная муть
#/9269ad#
?>

Антивирус хостинга Virusdie определил как зараженные файлы

• header.php
• custom-header.php
• admin-footer.php
• admin-header.php
• menu-header.php
• index.html

Так же был заражен файл плагина UpdraftPlus. В итоге данный плагин был удален. Либо дыра в плагине, либо не его вина. Проще снести и не рисковать.

Антивирус хостинга обозначил вирус как PHP.BlacoleRef.  Все файлы были вылечены антивирусом хостера.

Поиск мусора в статьях плагином Search Regex

Как уже написано выше, в коде статей был обнаружен посторонний скрипт. В сети пишут, что скриптов появляется несколько вариантов

<script type="text/javascript" src="//css.googleaps.ru/css?f=Open+Sans&cd=mb&ver=4.2.2"></script>
<script type="text/javascript" src="//uptoliked.ru/widjets.js"></script>
<script type="text/javascript" src="//shareup.ru/social.js"></script>

Просматривать код всех статей блога — дело не благодарное и долгое. С учетом того, что скрипты попадаются не только в ссылках, но и просто в тексте, есть риск пропустить заразу. У себя на блоге удалял этот мусор плагином Search Regex, который позволяет искать нужный текст и заменять его на другой.

Достаточно в первое поле ввести код скрипта, а следующее поле оставить пустым.Нажать поиск-замена. Таким образом плагин найдет все вхождения этой гадости и заменит на пустое место. Для поиска разных вариантов этой гадости можно в поле поиска ввести часть скрипта «src=»//» и плагин найдет все варианты этих скриптов в ваших статьях.

В общем весь мусор из статей блога был удален. Однако через дней пять он снова появился. Повторное сканирование блога антивирусом хостера результатов не дал. В ручную просматривать все папки сайта на предмет лишних файлов дело муторное. Сайт был дополнительно проверен антивирусами Aibolit и Manul (от Яндекса). Оба антивируса обматерили файл index.2.php в папке «webstat.none» с шеллом внутри. Написал хостеру, что их антивирус не нашел файл с шелом. Файл удален — пока тихо.

Отслеживание попыток взлома

Попытки взлома идут постоянно. Если вы думаете, что ваш блог мало посещаем и хакерам не нужен, вы глубоко ошибаетесь.

Это лог плагина SEO Redirection Free. На скрине только первая страничка лога. Запросы на наличие определенных плагинов, тем и файлов на сайте. Так что хватает козлов, желающих воспользоваться плодами вашего труда в своих целях. Этот лог очень облегчает поиск «левых» файлов на вашем сайте, особенно сразу после заражения.

Защита wordpress

Если у вас еще не установлены плагины для защиты wordpress, обязательно сделайте это. Иначе будете чистить сайт от вирусни до бесконечности. Вот некоторые из популярных плагинов

• Acunetix Secure WordPress
• Lockdown WP Admin
• Wordfence Security

И не забывайте обновляться. Защита и своевременное закрытие уязвимостей — залог здоровья ваших блогов.