Команды POST, вызываемые в журнале доступа

Я уже был на этом сайте: http://www.google.com/webmasters/hacked/ поэтому я нахожусь в карантине нашего сайта и сменяю пароли. Но мой вопрос связан с командами post в нашем журнале доступа. ПОСТКоманды POST, вызываемые в журнале доступа

"POST/событие/ActionScript-июнь-201/Trackback/HTTP/1.1" 200 983 "http://www.brookwood.com/event/actionscript-june-201/"

»: Наиболее распространенными из них являются /wp-content/indexfoMt.php HTTP/1.1" 200 983 "-" "-" brookwood.com

Самый большой проблема с обоими из них в том, что ни один из них на самом деле не создает файл, это похоже на то, что файл indexfoMt создается и удаляется с сервера, потому что там нет такого файла.

Так что мой вопрос: как я могу лучше всего пройти через сайт Wordpress, чтобы убедиться, что я очистил все содержимое взломанного кода? Я знаю, что возможно изменение паролей может решить проблему, насколько вероятно, что она избавит журнал доступа от этих вызовов?

Наконец, как долго я должен оставлять свой сайт на карантине, Google не дает нам никаких указаний о том, как долго хранить сайт на карантине. Спасибо заранее.

источник

2014-01-14 tcoulson

Возможно, кто-то, возможно, использует вашу установку WordPress для атаки. Я столкнулся с этим несколько дней в моей собственной папке CentOS, в которой размещается несколько блогов WordPress. Вероятно, вы не сможете решить это, просто пройдя свой сайт WordPress. Вы должны войти в поле или попросить своего провайдера сделать это за вас.

Загрузить nethogs и посмотреть, какой процесс переносит больше данных, чем ожидалось. Если это, например, процесс с именем host, то посмотрите, какие файлы он использует с lsof (см. Ниже). Тогда вы, вероятно, узнаете, какая установка WordPress затронута. Затем перейдите в папку WordPress и найдите новые подозрительные файлы.

В моем случае это выглядело так. См. bruteforce.so.

[[email protected]/domain/ logs]# lsof | grep 1706 
... 
host  1706 /domain/ cwd  DIR    253,0  4096  10178 /home//domain//public_html/wp-content/themes/twentyeleven 
... 
host  1706 /domain/ DEL  REG    253,0     656 /home//domain//public_html/wp-content/themes/twentyeleven/bruteforce.so

И если вы были скомпрометированы, чем воссоздать ваш сервер и использовать резервную копию, чтобы восстановить его, как указано в https://serverfault.com/questions/218005/how-do-i-deal-with-a-compromised-server.

источник

2014-01-15 14:44:34

мы не можем восстановить из резервной копии сейчас, слишком много времени прошло с 12/27. Я не уверен, как нетопы помогут - он выглядит на поверхности как инструмент, который анализирует мои процессы на моей машине, мне нужно проверить наш домен, но это может быть то, что вы имели в виду, попросив вашего провайдера сделать это (они мне немного помогли, но я попробую еще раз.) Я не думаю, что это нападение с использованием bruteforce, потому что я не вижу никаких сообщений в wp-login. Но, как я уже говорил, я вижу много сообщений в indexfoMt.php, которых нет, но похоже, что он пытается попасть в основную часть сайта. – tcoulson

Попытайтесь найти бэкдор вокруг своего веб-каталога, сбросьте все пароли, информацию о базе данных, обновите свои данные Wordpress и логин.

Вот бэкдор я нашел на сервере моего клиента:

http://pastebin.com/apAJeJFR

И это одна:

http://pastebin.com/vRxEWCqT

Попробуйте использовать Grep найти вы их также.

источник

2014-12-05 19:24:23

Команды POST, вызываемые в журнале доступа

ответ

Смежные вопросы