[Alex195]

Недавно случайно обнаружил страницу http://сайт.ру/?p=онлайн-казино-онлайн

Как это убрать и как человек мог такое добавить?

[NightHawk]

А какой движок? Страница в дизайне сайта или вообще отдельно? Надо бы пассы к ftp/админке сменить.

[Alex195]

Движок - wordpress.

Пассы сменил, теперь на FL отдал на решение вопроса. Там с полпинка не разобраться, сайт похоже тупо взломали.

[Limon4eg]

такая же фигня, только на ДЛЕ.
в дизайн не вписаны.
давно появились уже. Пароли тогда же и сменил.
а удалить не знаю как.
Единственное, что это у меня ГС под сапу, так что не особо переживаю)

[Alex195]

Проблему мне решили, вот решение:

3 шела, которые добавляли в кеш html страниц свой код.
wp-content/plugins/formcraft/form.php
wp-content/plugins/formcraft/index2.php
wp-content/plugins/js_composer/js_compos er.php

сордержали строку подключения под видом картинки – php код:
<?php include('images/social.png'); ?>

при этом social.png внутри содержало PHP, обфусцированный, нечитаемый (кодированный).

после удаления данного кода ссылки на Казино пропали.

[Бабайка]

Ну так первое - следи внимательно за списком плагинов, чтобы левые не появлялись, второе - закрой доступ к админке с чужих айпи, в-третьих поставь что-то типа WP Security Audit Log - там пишется кто и что на сайте делал.

[awmaster08]

Советую .htaccess проверить. Частенько там редиректы после взлома прописывают. И еще нагуглите скрипт replacer.php. Он ищет и удаляет указанный код прямо на сервере. Полезна штука

[Alex195]

Спасибо за советы!

Плагины по безопасности стоят, админка по нестандартному адресу, защиты все какие возможно.

Пересмотрел все логи - ничего.


Есть подозрение, что плагины, которые указаны, изначально содержали подобный код, т.к. никто их не покупал.

За скрипт спасибо

[Олег Нынюк]

Здравствуй, знаю я что это за штука) если качали с этого сайта что-то getnulledscripts.com то удаляй, там все заражено этим вредоносным скриптом.

Чистится просто удалением файла картинки social.png и самого инклуда. Советую еще выкачать сайт на хостинг и просканировать антивирусом, чтобы добить шеллы которые заливает эта хрень.

Также в папке /wp-includes/SimplePie/Decode/HTML/ должны быть шелы. Удалите если есть. Если нет то это другая версия заражалки.

[Alex195]

Олег Нынюк,
есть) удалил