Possível duplicata:
Meu servidor foi hackeado EMERGÊNCIA
Acabei de descobrir que meu site foi hackeado. Junto com alguns outros sites em meu host. Se você for ao final do site, verá um iframe. Não sei o que é isso, não deveria estar aí.
Excluí todo o código do meu site e ele ainda está lá.
Eu verifiquei o htaccess pensando que talvez alguém tenha adicionado auto_append. Nada.
Alguma pista de como mais algo pode ser adicionado ao final do meu site?
No momento, estou baixando alguns arquivos de log para examinar.
Responder1
A primeira coisa a fazer é alertar sua empresa de hospedagem. Eles poderão ver os registros aos quais você não tem acesso.
Em segundo lugar: vejo que você está usando o Wordpress. Você precisa:
-Verificar se o Wordpress está atualizado
-Verificar e certificar-se de que todos os seus plug-ins do Wordpress também estão atualizados
Se alguma das opções acima não for up2date, você precisará verificar se a versão que você está executando tem uma vulnerabilidade conhecida. (Verifique o site do software, etc.)
Comece a percorrer seu webroot para encontrar arquivos fora do lugar. Certifique-se de procurar também nos diretórios temporários.
Se for considerado um hack ruim, você desejará restaurar a partir de um backup em bom estado.
Isso deve ajudá-lo a começar na direção certa.
** Editar: ignore / diminua a resposta do XTZ. É reacionário e perigoso, para não dizer impreciso.
Responder2
Se eles pudessem editar php.ini, acredito que poderiam adicionar um rodapé a cada página PHP (o que obviamente você não veria em seu próprio código). Faça um test.phparquivo e veja se isso ainda acontece.
Responder3
Entrei no site em questão, tentei instalar um trojan do tipo:
http://www.martinsecurity.net/2008/09/04/analyzing-a-malicious-pdf-trojpdfjs-a/
Carregando um arquivo PDF malicioso com JavaScript. Visualizando o código, ele também parece muito semelhante. Provavelmente deve ser evitado, a menos que você tenha bloqueado seu computador. Quanto às soluções, acho que entrar em contato com a sua empresa de hospedagem, como disse Anapologetos, seria o primeiro passo essencial.
Responder4
Qual é o código JavaScript no código-fonte da sua página após a tag HTML de fechamento?
Além disso, eu obteria a extensão que oculta sua versão do WordPress da fonte da página, pois a mostra como uma meta tag ( <meta name="generator" content="WordPress 2.7.1" />), por exemplo, posso ver que você está executando o "WordPress 2.7.1" (que é a versão atual: palmas :) mas assim que for encontrada uma exploração para isso, as pessoas poderão procurá-la.
Verifique também os outros arquivos que sua instalação do WordPress usa. Eu sei que ele pode incluir e exigir (não aparecerá no código-fonte da página, pois são baseados em PHP) de outros arquivos e sei que extensões/temas também podem fazer isso, certifique-se de que estejam atualizados.
Verifique também quais extensões e temas estão instalados/ativados e livre-se de qualquer um que você não conheça.