Posible duplicado:
Mi servidor ha sido hackeado EMERGENCIA
Acabo de descubrir que mi sitio, creo, ha sido pirateado. Junto con un par de otros sitios en mi host. Si vas al final del sitio, verás un iframe. No sé qué es eso, no debería estar ahí.
Eliminé todo el código de mi sitio y todavía está allí.
Revisé htaccess pensando que tal vez alguien agregó auto_append. Nada.
¿Alguna pista sobre de qué otra manera se puede agregar algo al final de mi sitio?
Actualmente estoy descargando algunos archivos de registro para revisarlos.
Respuesta1
Lo primero que debe hacer es alertar a su empresa de hosting. Podrán ver los registros a los que no tiene acceso.
En segundo lugar: veo que estás usando Wordpress. Necesita:
-Verificar y ver si Wordpress está actualizado
-Verificar y asegurarse de que todos sus complementos de Wordpress también estén actualizados
Si alguno de los anteriores no está actualizado, debe verificar y ver si la versión que está ejecutando tiene una vulnerabilidad conocida. (Consulte el sitio del software, etc.)
Comience a revisar su webroot para encontrar archivos fuera de lugar. Asegúrese de buscar también en los directorios temporales.
Si se descubre que se trata de un mal truco, querrás restaurarlo desde una copia de seguridad que sepas que está en buen estado.
Esto debería ayudarle a empezar en la dirección correcta.
** Editar: Ignore/pulse hacia abajo la respuesta de XTZ. Es reaccionario y peligroso, por no decir inexacto.
Respuesta2
Si pudieran editar php.ini, creo que podrían agregar un pie de página a cada página PHP (que obviamente no verías en tu propio código). Haga un test.phparchivo y vea si todavía sucede.
Respuesta3
Fui al sitio en cuestión, intenté instalar un troyano como:
http://www.martinsecurity.net/2008/09/04/analyzing-a-malicious-pdf-trojpdfjs-a/
Cargando un archivo PDF malicioso con JavaScript. Al ver el código, también se ve muy similar. Probablemente debería evitarse a menos que haya bloqueado su computadora. En cuanto a soluciones, creo que contactar con tu empresa de hosting, como decía Anapologetos, sería el primer paso imprescindible.
Respuesta4
¿Qué es ese código JavaScript en la fuente de su página después de la etiqueta HTML de cierre?
También obtendría la extensión que oculta tu versión de WordPress de la fuente de la página, ya que la muestra como una metaetiqueta ( <meta name="generator" content="WordPress 2.7.1" />), por ejemplo, puedo ver que estás ejecutando "WordPress 2.7.1" (que es la versión actual: aplausos). :) pero una vez que se encuentre una exposición, la gente podrá buscarla.
Verifique también los otros archivos que utiliza su instalación de WordPress. Sé que puede incluir y requerir (no aparecerá en la fuente de la página ya que están basados en PHP) de otros archivos y sé que las extensiones/temas también pueden hacerlo, así que asegúrese de que estén actualizados.
También verifique qué extensiones y temas están instalados/habilitados y elimine los que no conozca.