Hilfe Backend fehlerhaft und Plugins alle weg

Hallo

Heute musste ich feststellen, dass bei allen meinen Blogs eines Webpaketes die Backends nicht richtig dargestellt werden. Zudem wurden alle Plugins deaktiviert wegen eines validen Headers. Gemacht wurden von unserer Seite nichts.

Kann mir jemand helfen?

Bei der Installation des Plugin
Use Google Libraries passt zwar die Darstellung wieder, aber die Plugins bleiben verschwunden, obwohl diese noch im Ordner per FTP zu sehen sind.

Viele Grüße Andy

Ok, das sollte aber nicht das Problem sein.

Sind auch andere Blogs betroffen wie sicherheitimfokus.de

Wenn das nicht gewollt von dir ist das Besuchern was installiert wird, sollte das aber schon das Problem sein. Gehackt wurden eventuell?

Kann alles sein, aber wie gesagt es sind ja noch mehrere Domains des selben Paketes betroffen wie lilu24.de, sicherheitimfokus.de, Tages-aktuell.de,...

Alle haben den selben Fehler. Bei mir kommt leider diese Fehlermeldung nicht

Jetzt bin ich etwas weiter. Alle Seiten scheinen Schadecode zu haben.

Immer am Ende ist zu lesen "silence is golden". Hat jemand ein Tool wie man die PHP Dateien von diesem Code befreien kann?

Zitat von storm-rider

hallo,

ich klick mich hier mal mit ein, hoffe ich bin richtig. mein wordpress sieht seid neuestem so aus:

[ATTACH=CONFIG]7624[/ATTACH]

ich kapier das nicht, das is bei allen meinen seiten... was is da passiert??

danke für eure hilfe

Du scheinst den gleichen Fehler wie ich zu haben. So sieht es auch bei mir aus. Sind die Plugins noch da?

Schau mal ob du in den PHP Dateien gleich am Anfang Schadcode findest?!

Der Schadcode repliziert sich gerne weiter, von daher rate ich Euch, Wordpress komplett neu aufzusetzen. Datenbankbackup machen (NICHT über Wordpress!), Dateien sichern (uploads) und das Theme NICHT mitsichern! Finger weg von den PHP-Dateien.

Alternativ (mehr Aufwand):
Installation komplett lokal runterladen und mit einem Tool (ich bin Total Commander-User) alle Dateien im Text nach "base64_decode" durchsuchen.

Das Kind ist richtig interessant - die infizierten Blogs stöpseln sich selber als Referenz gegenseitig!

Dummerweise kursiert der Mist schon seit mehreren Jahren durch die Landschaft... :(

Nachtrag:
Habe den Code grade mal lokal ausgeführt. Das Würmchen legt folgende index.php-Dateien an (kann je nach Anzahl Plugins sicherlich etwas variieren):

/wp-admin/includes/plugin.php (Ergänzung in Zeile 337)
/wp-content/index.php
/wp-content/plugins/askimet/index.php
/wp-content/plugins/index.php
/wp-content/themes/index.php

Der Code klappert dabei alle Verzeichnisse durch.

Habe das Plugin installiert, aber leider wird der Schadecode nicht in den PHP Dateien entfernt.

Zitat von gericoach

hier ne Erklärung, was das ist: http://shinephp.com/silence-is-gol…rdpress-plugin/

Und hier ein Anti Plugin (identisch mit dem, auf der Seite oben) von der Original Wordpress-Plugin Seite: http://wordpress.org/plugins/silence-is-golden-guard/

Gibt es auch ein Tool welches den Schadecode löscht. In fast allen Dateien ist dieser zu finden und alle händisch zu löschen wäre unmöglich.

Noch kurz einen Hinweis zu deinem Nachtrag. Leider legt sich der Code auch in bestehende PHP Dateien. Bei mir ist er in fast allen zu finden. Sogar in der wp-config.php und weiteren.

Zitat von formateins

Der Schadcode repliziert sich gerne weiter, von daher rate ich Euch, Wordpress komplett neu aufzusetzen. Datenbankbackup machen (NICHT über Wordpress!), Dateien sichern (uploads) und das Theme NICHT mitsichern! Finger weg von den PHP-Dateien.

Alternativ (mehr Aufwand):
Installation komplett lokal runterladen und mit einem Tool (ich bin Total Commander-User) alle Dateien im Text nach "base64_decode" durchsuchen.

Das Kind ist richtig interessant - die infizierten Blogs stöpseln sich selber als Referenz gegenseitig!

Dummerweise kursiert der Mist schon seit mehreren Jahren durch die Landschaft... :(

Nachtrag:
Habe den Code grade mal lokal ausgeführt. Das Würmchen legt folgende index.php-Dateien an (kann je nach Anzahl Plugins sicherlich etwas variieren):

/wp-admin/includes/plugin.php (Ergänzung in Zeile 337)
/wp-content/index.php
/wp-content/plugins/askimet/index.php
/wp-content/plugins/index.php
/wp-content/themes/index.php

Der Code klappert dabei alle Verzeichnisse durch.

Alles anzeigen

Zitat von lilu24

Gibt es auch ein Tool welches den Schadecode löscht. In fast allen Dateien ist dieser zu finden und alle händisch zu löschen wäre unmöglich.

Nicht wirklich.

Das Skript macht nur die Initialarbeit und öffnet die Haustüre. Habe grade mal 3 Blogs in 3 Verzeichnissen installiert plus je 1 modx- und Typo3-System. Betrifft nur Wordpress-Verzeichnisse und im ersten Step obige Dateien. Den nächsten Step lasse ich mal (keine Lust eine VM aufzusetzen).

Passiert übrigens nur, wenn der Apache Schreibrechte hat. Empfehlung: Schreibrechte entfernen und Plugins/Themes per FTP hochladen.

PS: woocommerce ist auch betroffen (sofern vorhanden).

PPS: Ja, wie oben erwähnt. Wenn der Schadcode dann erstmal durch die Haustüre rein ist, wird alles in Beschlag genommen. Ich würde an der Stelle keinem Plugin vertrauen, dass den Wordpress-Core bereinigt...

PPPS: Wenns Dir nix ausmacht, schick mir mal bitte eine beliebige befallende Datei per Mail an querdenker73@gmail.com. Danke!

Zitat von formateins

Nicht wirklich.

Das Skript macht nur die Initialarbeit und öffnet die Haustüre. Habe grade mal 3 Blogs in 3 Verzeichnissen installiert plus je 1 modx- und Typo3-System. Betrifft nur Wordpress-Verzeichnisse und im ersten Step obige Dateien. Den nächsten Step lasse ich mal (keine Lust eine VM aufzusetzen).

Passiert übrigens nur, wenn der Apache Schreibrechte hat. Empfehlung: Schreibrechte entfernen und Plugins/Themes per FTP hochladen.

PS: woocommerce ist auch betroffen (sofern vorhanden).

PPS: Ja, wie oben erwähnt. Wenn der Schadcode dann erstmal durch die Haustüre rein ist, wird alles in Beschlag genommen. Ich würde an der Stelle keinem Plugin vertrauen, dass den Wordpress-Core bereinigt...

PPPS: Wenns Dir nix ausmacht, schick mir mal bitte eine beliebige befallende Datei per Mail an querdenker73@gmail.com. Danke!

Alles anzeigen

Hast Post! --- Danke

Wie entferne ich die Schreibrechte auf dem Apache? Macht dies der Provider?

Danke für das File. Hier ein entsprechender Artikel zu dem Thema:http://www.justbeck.com/zend_framework-wordpress-hacks/

Wenn Du nur einen Webspace hast, kannst Du auf die oberste Ebene im FTP-Programm gehen, alle Dateien markieren und per Rechtsklick die Dateieigenschaften setzen. Entziehe bei den beiden rechten Optionen (es sollten 3 sein) jeweils das Schreibrecht. Das Ganze dann rekursiv.

Funktioniert aber nur dann, wenn die Gruppen und Benutzer korrekt gesetzt sind.

Weiterhin muss überprüft werden, ob der Benutzer des Webservers (in der Regel www-data) irgendwo als BESITZER bei einer PHP-Datei vorhanden ist. Diese sollte man dann auf den FTP-Benutzer ändern.

Ich bleib trotzdem dabei: Platt machen, neu installieren und alles per FTP regeln.

Ich hätte jetzt wirklich gern ein Unterforum "Sicherheitsfragen"... ;)

Hier eine kleine Lösung:http://blog.oomta.com/wordpress-zend_framework-hack-fixed/

Nicht getestet. Essen ruft! Viel Erfolg!

Nochwas:
http://blog.amhill.net/2012/03/01/rec…ss-hack-part-1/

PS: "Silence is golden" hat sich erledigt. Offensichtlich hat das Skript an der Stelle als erstes versucht, zu injizieren. Die angegebenen Dateien sind Bestandteil von Wordpress und sollen das Directory-Browsing verhinden.