Возможный дубликат:
Мой сервер был взломан ЭКСТРЕННО
Я только что обнаружил, что мой сайт, как я полагаю, был взломан. Вместе с парой других сайтов на моем хостинге. Если вы перейдете в конец сайта, вы увидите iframe. Я не знаю, что это такое, его там быть не должно.
Я удалил весь код со своего сайта, но он все еще там.
Я проверил htaccess, думая, что кто-то добавил auto_append. Ничего.
Есть ли у вас какие-нибудь идеи, как еще что-то можно добавить в конец моего сайта?
В настоящее время я загружаю несколько файлов журналов для просмотра.
решение1
Первое, что нужно сделать, это предупредить вашу хостинговую компанию. Они смогут просмотреть логи, к которым у вас нет доступа.
Во-вторых: Я вижу, что вы используете Wordpress. Вам нужно:
-Проверить и убедиться, что Wordpress обновлен
-Проверить и убедиться, что все ваши плагины Wordpress также обновлены
Если что-либо из вышеперечисленного не обновлено, вам необходимо проверить и посмотреть, не имеет ли используемая вами версия известной уязвимости. (Проверьте сайт программного обеспечения и т. д.)
Начните просматривать ваш webroot, чтобы найти любые неуместные файлы. Убедитесь, что вы также посмотрели во временных каталогах.
Если будет обнаружено, что это был неудачный взлом, вам придется выполнить восстановление из заведомо исправной резервной копии.
Это должно помочь вам начать движение в правильном направлении.
**Редактировать: Пожалуйста, проигнорируйте / поставьте большой палец вниз ответу XTZ. Он реакционный и опасный, не говоря уже о том, что неточный.
решение2
Если бы они могли редактировать php.ini, я думаю, они могли бы добавить нижний колонтитул к каждой странице PHP (который, очевидно, вы не увидите в своем собственном коде). Создайте файл test.phpи посмотрите, происходит ли это по-прежнему.
решение3
Я зашел на указанный сайт, и он попытался установить троян вроде:
http://www.martinsecurity.net/2008/09/04/analyzing-a-malicious-pdf-trojpdfjs-a/
Загрузка вредоносного PDF-файла с помощью JavaScript. Просмотр кода также выглядит очень похожим. Вероятно, следует избегать, если вы не заблокировали свой компьютер. Что касается решений, я думаю, что обращение в вашу хостинговую компанию, как сказал Анаподжетос, будет важнейшим первым шагом.
решение4
Что это за код JavaScript в исходном коде вашей страницы после закрывающего тега HTML?
Также я бы установил расширение, которое скрывает версию WordPress из исходного кода страницы, поскольку оно показывает ее как метатег ( <meta name="generator" content="WordPress 2.7.1" />). Например, я вижу, что вы используете «WordPress 2.7.1» (это текущая версия :claps:), но как только будет найден эксплойт для нее, люди смогут искать ее.
Также проверьте другие файлы, которые использует ваша установка WordPress. Я знаю, что это может включать и требовать (не будет отображаться в исходном коде страницы, так как они основаны на PHP) из других файлов, и я знаю, что расширения/темы также могут это делать, поэтому убедитесь, что они обновлены.
Также проверьте, какие расширения и темы установлены/включены, и удалите те, о которых вы не знаете.