Malware obwohl neueste Updates

Das zeigt mir jetzt nicht wirklich Malware an.
Wie äußert sich denn die Infektion? Welche Plugins hast oder hattest du installiert, welche Themes auf dem Server?

Einfach die Symptome zu bekämpfen bringt nichts, du musst die Ursache finden und ausschalten.

Ich habe in deinem Quelltext einen Hinweis auf das Script Timthumb gefunden. Dein Theme scheint es zu nutzen. In diesem Script gibt es eine gravierende Sicherheitslücke (soweit es nicht vor kurzem von dir auf den aktuellen Stand gebracht wurde).

Du solltest also mal nachsehen, ob Themeforest eine neue Version des Themes bereitstellt. Oder du hoffst, dass die timthumb.php nicht angepasst wurde und ersetzt sie gegen eine bereinigte Version.

Allgemein solltest du jede Datei auf deinem Server/Webspace checken, eventuell hilft dir der Exploit Scanner aus dem Repo. Es könnte nun prinzipiell jede Datei böse sein.

Naja, es ist sicher sinnvoll, WordPress komplett zu ersetzen (alle Dateien gegen frisch heruntergeladene ersetzen), alle Plugins neu aus dem Repo zu holen und nach Änderungen in wp-config.php und .htaccess zu suchen.

Ansonsten habe ich recht gute Erfahrungen mit dem Plugin AntiVirus von Sergej Müller gemacht (Repo).

Du musst noch nicht einmal neu installieren. Es reicht, wenn du dir WordPress neu herunterlädst, entpackst und die Dateien auf deinen Webspace kopierst und dabei alte Dateien überschreibst. Deine hochgeladenen Dateien bleiben dabei ja erhalten, da sie nicht im WordPress-Paket enthalten sind.
Wenn du die Dateien nur überschreibst, ändert sich quasi nichts. WordPress läuft einfach weiter und merkt gar nicht, dass die Dateien neue sind. Es muss also nichts neu installiert und gelöscht werden.

Aber du solltest allgemein natürlich vorher ein Backup machen. Ja, deine Artikel werden in der MySQL-Datenbank gespeichert, Bilder und andere hochgeladenen Daten findest du im allgemeinen unter wp-content/uploads.

Zitat von boogieman88

ich habe soeben mal die neueste Version von timthumb auf dem Server ersetzt.

Ich weiß nicht welche Version du einsetzt, aber schau mal hier:

http://www.exploit-db.com/exploits/17602/

Zitat von boogieman88

wp-config.php, ist die geschützt? Ist es nicht möglich, dass man diese Datei irgendwie runterlanden kann?

Wenn du die Rechte richtig gesetzt hast (440), sollte dort kein unberechtigter Zugriff stattfinden können. Zusätzlich kannst du in deine .htaccess im root-Verzeichnis folgendes eintragen:

<files wp-config.php>
Order deny,allow
deny from all
</files>

Zitat von befla

Datenbank sichern und nach der Neuinstallation Datenbank wieder einspielen

Das wäre unnötiger Aufwand, wie von mir schon beschrieben.

Die wp-config.php muss prinzipiell nicht geschützt werden, da ihr Inhalt nicht ausgegeben werden kann, sondern von anderen Teilen von WordPress abgefragt wird. Würdest du die wp-config.php über den Browser aufzurufen versuchen, würde der Server versuchen, ihren Inhalt gemäß der Anweisungen auszugeben (PHP wird geparst). Da aber solche Anweisungen (wie z.B. echo) nicht vorhanden sind, wird nichts zurückgegeben. Das kannst du ja selbst mal ausprobieren, im Quelltext dürfte einfach gar nichts stehen.

Das heißt allerdings nicht, dass es nicht eventuell sinnvoll ist, die Dateirechte so restriktiv wie möglich zu setzen und eventuell einen Dateischutz in der .htaccess einzubauen, wie Hille es schon ansprach.

Zitat von wemaflo

Du musst noch nicht einmal neu installieren. Es reicht, wenn du dir WordPress neu herunterlädst, entpackst und die Dateien auf deinen Webspace kopierst und dabei alte Dateien überschreibst. Deine hochgeladenen Dateien bleiben dabei ja erhalten, da sie nicht im WordPress-Paket enthalten sind.

da der Angreifer sicherlich sich weitere Script (Tools) eben installiert hat - wird bei deiner Lösung die Sicherheitslücke nicht *gelöscht* sondern beibt weiter bestehen.

bei dem genannten Script legen die Angreifer sich gerne weitere Scripte in das Images - Verzeichnis oder ganz besonders beliebt auch in das includes/js/

Ergo: alles Löschen und eine *saubere* Version hochladen. Wenn man keine Datensicherung von den Binardaten (Grafiken, Fotos, Musik, Video... ect hat) diese eben pürfen _ob die Datei_ wirklich keine Script oder Virus pp ist sonder das erwartet beinhaltet.

Viel Glück

ralf

Das war das, was ich damit meinte ;)
WordPress komplett tauschen, alles andere prüfen und in der DB nach Auffälligkeiten suchen.

Sofern Wordpress im Wurzelverzeichnis der Domain installiert ist, kann man die wp-config.php einfach eine Verzeichnisebene weiter oben ablegen. Damit ist sie auc von außen nicht zugreifbar.

Ich verwende auf meinem Webspace meist folgende Verzeichnisstruktur:

.
|   .htaccess
|   
+---domain1
|   |   wp-config.php
|   |   
|   \---wp
|           index.php
|           ...
\---domain2
    |   wp-config.php
    |   
    \---wp
            index.php
            ...

Wobei /domain1/wp/ bzw. /domain2/wp/ die jeweiligen Root-Verzeichnisse der Domains sind.

Gruß
Ingo