Скрытая переадресация на взломанный сайт?

Question

Один из наших веб-сайтов Wordpress, работающих на сервере Apache, был недавно взломан через PHP-инъекцию.

Хакеры установили сотни URL-адресов, перенаправленных на внешнюю электронную коммерцию, которая продавала часы; URL-адреса имели форму http://www.example.com/eta.php?some_file.html; например: http://www.example.com/eta.php?Jewellery-Watches-Others-c138-4.html.

Мы думаем, что мы удалили все зараженные PHP-коды. Однако взломанные URL-адреса, вместо того, чтобы возвращать 404, теперь перенаправляют 301 на http://www.example.com/?some_file.html (то есть, тот же URL-адрес без части eta.php) и, наконец, показывают домашнюю страницу сайта, возвращая код 200. Обратите внимание, что мой файл .htaccess кажется быть совершенно чистым.

Откуда это фантомное перенаправление?

Я был бы очень признателен всем, кто мог бы помочь мне понять, что происходит. Я беспокоюсь, что мы не полностью уничтожили хак.

Благодарим за внимание!

ДАЛЬНЕЙШИЯ ПОДРОБНОСТИ

Файл eta.php нигде не найти на сервере. Замена eta.php со случайным файлом (например, ate.php) в взломанных URL-адресах дает код 404, как ожидалось.

В конце концов мне удалось заставить взломанную URL, чтобы вернуть 404 с помощью следующего правила: .htaccess

RewriteCond %{THE_REQUEST} /eta\.php 
RewriteRule ^(.*)$ - [R=404,L,NC] 

Интересно, что это другое правило не работает, как если бы хак был как-то баловаться с %{REQUEST_URI}:

RewriteCond %{REQUEST_URI} ^/eta\.php [NC] 
RewriteRule (.*) - [R=404,L] 

Answer 1

Одна хорошая вещь, чтобы сделать резервную копию базы данных MySQL и открыть в блокноте. Найти все ссылки и удалить. После этого сохраните файл .sql и загрузите его обратно.

Также посмотрите, где вставлен javascript/iframe внутри вашего HTML-файла через исходный код и найти, существуют ли в базе данных и удалить.

Также переустановите установку Wordpress, переустановите плагины и шаблон (замените все файлы новыми файлами).

Это способ как сохранить многие сайты.

Также может делать то, что @vard пишет в своем комментарии.