[4.2.x]

Всем добрый день! Сегодня на главной странице сайта обнаружил странную надпись "abcabcabc". Установлена версия 4.2.3 Patch Level 2. Захожу на сайт обычно каждые 2-3 дня. Раньше такой надписи не видел. Подозрение на взлом.

Уже давно не занимался сайтом. Подзабыл что да как. Сменил админские пароли и почту. Зашел в панель управления в поиск по шаблонам, ничего не нашел, откуда берется эта надпись. В записях действий в панели управления тоже не увидел ничего подозрительного.

Не могу понять, откуда эта надпись в вернем левом углу сайта. Вот скрин.

Покопался в архивах, где я записывал, какие изменения я когда-то вносил, ничего не нашел. Не подскажите, в каком шаблоне может быть переменная, способная вставлять эту надпись вверху сайта? Это может быть результат взлома?

В последний раз бэкап делал в 2016 году. В принципе, я могу стереть сайт и восстановить из бекапа. Все равно за это время почти ничего не происходило на сайте. Просто хочу понять на будущее, откуда взялась надпись и какие действия мне лучше всего предпринять?

Вероятнее всего, что код в модуле. Попробуйте отключить систему модулей/продуктов, затем обновить страницу и проверить исчезла ли данная строка.

Originally Posted by OldEr

Вероятнее всего, что код в модуле

Может быть, тем паче, что всё устаревшее. А может всё-таки сперва header проверить?

Originally Posted by OldEr

Попробуйте отключить систему модулей/продуктов, затем обновить страницу...

Попробовал, не помогло. У меня только два дополнительных модуля - DragonByte Tech: Advanced Post Thanks / Like (Lite) и VSQ - Spoiler. Отключил, обновил страницу - как было, так и осталось.

thiphereth добавил 05.02.2018 в 19:32

Originally Posted by madbadjack

А может всё-таки сперва header проверить?

Зашел в шаблон header, там написано, что в этом шаблоне изменения никогда не производились. В любом случае, в шаблоне нет надписи "abcabcabc". Если эта надпись из шаблона, то она может вставляться только какой-то фразой (переменной). Но поиск по фразам ничего не дал. Я вот думаю, может это какие-то изменения в версии PHP на хостинге. Ничего другого кроме этого и возможного взлома пока в голову не приходит. Подскажите, что еще можно сделать?

на фтп content.php смотрите в самом верху

эта хрень в теле страницы еще до заголовка доктайп



так что вряд ли это в шаблонах
возможно, где то в модулях или прямо в файлах выполняется некий код, который принтит эту хрень на страницу

Originally Posted by hoo

на фтп content.php смотрите в самом верху

Скачал из корневой директории сайта файл content.php. Надписи "abcabcabc" в нем нет. В Интернете нашел пост одного человек с такой же проблемой, но у него не vBulletin, а WordPress. Он написал, что типа нашел и исправил ошибку. У него в файле error_log на хостинге была надпись:

PHP Warning:  Cannot modify header information - headers already sent by (output started at /home/cinegcom/public_html/wp-content/themes/soledad/inc/meta-box/categories-meta-box.php:2) in /home/cinegcom/public_html/wp-includes/IXR/class-IXR-server.php on line 149

Но у меня никаких подобных надписей нет в файле error_log. Хотя надпись "abcabcabc" на его сайте была в точности такой, как у меня. Не знаю даже, как повлиять на эту надпись... Может нужно какие-то права поменять на директориях хостинга? На русском языке в поиске не нашел подобных случаев.

thiphereth добавил 05.02.2018 в 21:45

Originally Posted by kerk

эта хрень в теле страницы еще до заголовка доктайп
так что вряд ли это в шаблонах

Мне тоже кажется, что не в шаблонах. Начал шерстить все файлы на хостинге. Обнаружил хакерский файл t.php, появившийся 28 декабря прошлого года. В заголовке файла написано "Pwned by Monkey B Luffy". А в конце файла "красуются" ники хакеров:

E ARE : <marquee width="500">Ccocot - ./Mr.greetz69 - Kazuya404 - ./N4sKun - Jilan404 - Effect - B0c4H_Id30t - Ashura - Fuss - Sector.V2</marquee>

Нашел инфо в Инете, что мой хостер был взломан и хакеры добавили файлы t.php и t.html. Первый я только что обнаружил и удалил. Второй пока не могу найти, может хостер удалил. На данный момент удаление t.php не помогло. Кто знает, что еще хакеры накидали. Буду сравнивать все файлы на хостинге с файлами у меня в бэкапе. Может еще чего раскопаю... Хостер, конечно же, решил не уведомлять пользователе о взломе... Наверняка это уязвимость на хостинге. Пароли у меня везде сложные.

Originally Posted by madbadjack

А может всё-таки сперва header проверить?

ТС написал, что шаблоны уже проверил.

@thiphereth, напишите в ЛС - посмотрим.

Originally Posted by thiphereth

Кто знает, что еще хакеры накидали. Буду сравнивать все файлы на хостинге с файлами у меня в бэкапе.

Попробуйте: Адмипанель/Обслуживание/Диагностика/Подозрительные версии файлов.

Originally Posted by OldEr

напишите в ЛС - посмотрим.

Спасибо, покопаюсь еще в файлах, пообщаюсь с хостером. А потом, если что, напишу.

thiphereth добавил 05.02.2018 в 23:04

Originally Posted by Konkere

Попробуйте: Адмипанель/Обслуживание/Диагностика/Подозрительные версии файлов.

Спасибо! Обязательно воспользуюсь. У меня на хостинге несколько сайтов. Там не везде есть такая функция. Поэтому я кроме этого еще сейчас качаю себе на комп все, что на хостинге. А потом буду сравнивать в программе Beyond Compare.

thiphereth добавил 06.02.2018 в 05:52
Вообщем прошерстил я все, зараженных и накиданных файлов несколько десятков, это что я нашел. Сначала подумал, что удалю накиданные файлы и изменю переписанные. Но потом подумал, что может пропущу что-то а потом опять проблемы будут. Решил все снести и восстановить из бэкапов, так будет надежней. Но сначала с хостером поговорю. А то я переустановлю, а если на хостинге уязвимость, то все будет по новой. Либо вообще хостера придется менять, а не хотелось бы. За много лет первый раз хостинг хакнули. Всем спасибо за поддержку!