Skąd wziął się utils.php, hack TinyMCE

Question

W ubiegłą środę różne strony, którymi zarządzam, zostały zaatakowane przez hakerów, zostały zarażone linkiem Viagry (złośliwe oprogramowanie jest tak oryginalne).

Zauważyłem w katalogu wp-includes plik o nazwie utils.php (wp-includes/js/tinymce/utils/utils.php), również dodatek do mojego szablonu ogólnego-template.php dla funkcji get_footer.

Ten hack zdaje się wpływać tylko na wyniki wyszukiwania Google witryn, a nie witryny, gdy jest bezpośrednio wyświetlany przez podanie adresu URL, np. Twoja strona z pamięci podręcznej pokaże zainfekowany przez szkodliwe oprogramowanie bałagan i przegrywa ranking, tymczasem zastanawiasz się, dlaczego ze względu na witrynę dobrze wyglądać podczas oglądania.

Mój gospodarz (host TSO) wyczyścił witryny, nawet nie musiał pytać, ale nie mam pojęcia, jak infekcja się tam dostała.

Moje pytanie brzmi, czy ktoś wie, jak doszło do naruszenia i co mogę zrobić, aby temu zapobiec, poza zwykłymi wskazówkami dotyczącymi bezpieczeństwa?

Answer 1

Zdarzyło się to witrynie, którą spędziłem tygodnie sprzątania. Mogę dać ci kilka wskazówek:

• Przejdź przez podstawowe pliki Wordpress (w ramach wp-admin i wp-includes) i usuń wszystkie pliki, których nie widzisz w domyślnym wpisie wordpress. Nigdy nie widziałem, żeby wtyczka tworzyła plik w jednym z tych dwóch katalogów. Po tym, byłoby dobrym pomysłem, aby ponownie zainstalować Wordpress, na wypadek gdyby zmienili którykolwiek z istniejących plików.
• Po tym, zmień swoje hasła Wordpress/FTP/SSH, ponieważ zostały one prawdopodobnie złamane. Zainstaluj WP Better Security. Na początku wydaje się to trochę irytujące, ale możesz monitorować wszystko, co za jego pomocą, zmienić kod logowania, usunąć informacje o wersji, które hakerzy mogą wykorzystać do znalezienia luk w zabezpieczeniach, czarnej listy znanych hakerów i wielu innych.
• Wreszcie, ten ostatni zajmie trochę czasu. Wyszukuj motyw i każdą z wtyczek i zobacz, czy Wordpress przestał ich używać, ponieważ były luką w zabezpieczeniach. Zdziwiłbyś się, ile wtyczek ma dziury. Staraj się unikać naprawdę nowych wtyczek i spróbuj użyć tej samej wtyczki do tak wielu różnych stron, jak tylko możesz. Jeśli hostujesz więcej niż jedną witrynę na tym samym serwerze, a jedna z nich zostanie zhakowana, zostanie ona zaatakowana przez i wszystkich.

To brzmi jak ból, a to trochę, ale po tym, jak skończysz, poczujesz się znacznie lepiej wiedząc, że masz kontrolę nad wszystkim. Zaufaj mi.