Komischer Eintrag in der Datenbank

Guten Morgen,

ich hoffe ich bin hier richtig und ihr könnt mir weiterhelfen.
Seit ein paar Monaten nutze ich jetzt Wordpress und bis jetzt war alles bestens. Was Wordpress und Datenbanken betrifft, bin ich ein Neuling und hoffe ihr könnt mir bei meinem Problem helfen.

Seit ein paar Tagen finde ich in der Datenbank, in wp_options, immer wieder einen komischen Eintrag, der dafür sorgt, dass ein Link im Header auftaucht, der dann das Layout unserer Seite verschiebt.

Ich dachte erst, dass es mit der header.php zusammenhängt, aber dies war leider nicht der Fall. Nur durch zufall fand ich heraus, dass dieser Link durch die Datenbank erzeugt wird.

Dieser komische Link taucht nur bei dem Theme auf, dass ich für unseren Blog nutze, nicht beim default oder classic. Da ich nicht wusste ob die Spalte "credit_text2" nun eine wichtige ist oder nicht, hatte ich einen "Test-Blog" installiert. Ohne Plugins und in einer frischen Datenbank, aber mit dem von mir genutztem Theme. Ich fand heraus, dass die Spalten "credit_date2" "credit_text2" "credit_text" "credit_date" zu dem Theme gehören. In den Spalten "credit_text" und "credit_text2" befindet sich nichts, jedenfalls nicht bei dem Test-Blog. Also bin ich hergegangen und habe folgendes aus der Spalte "credit_text2" gelöscht:

<div id="wraps"><a href='http://photo.net/photodb/user?user_id=5426556'>generic viagra</a></div>
<script language="javascript">
var wt = 'get'+'Element'
var stl = 'st'+'yle';
var _0xd22c=["function seeThat(elem) { eval(x22elem.x22+stl+x22.display=x27blockx27;x22); }"];
_0xd22c[0x0] = _0xd22c[0x0].replace(/block/i,"none");
eval(_0xd22c[0x0]);
</script>
<script>
var str = 'seeThat(document.getElementById("link"));';
eval(str.replace(/link/i,'wraps'));
</script>

Das Löschen hat zwar den Link aus dem Header gelöscht, aber nur für ca. 24 Stunden, denn dann tauchte er wieder auf. Dies geht nun schon ein paar Tagen so. :cry:

Wie gesagt, ich bin Neuling und weis nicht, welche Auswirkungen es hätte, wenn ich die Spalten "credit_date2" "credit_text2" "credit_text" "credit_date" komplett aus der Tabelle "wp_options" löschen würde. :cry:

Ich würde mich sehr freuen, wenn ihr mir bei meinem Problem helfen könntet.

Im Anhang findet ihr ein Screen mit meinem oben beschriebenem Problem.

Achja, hier ist ein Link zu der Seite http://arseniums.com

Zitat von Bambaataa

lösch am besten das ganze theme und such dir n anderes. wenn schon viagra werbung im theme auftaucht, wer weiß was da noch alles drin steckt.

Wir nutzen das Theme schon seit wir auf Wordpress umgestellt haben und das war im Juni. Dieser Link "generic viagra" tauchte aber erst vor kurzem auf. Ich muss dazu sagen, ich hatte ausversehen vor ca. 2 Wochen das Captcha bei dem Gästebuch augeschaltet. Danach tauchten zig Einträge mit "Viagra" auf und ich glaube mich zu erinnern da auch einen Eintrag mit "generic viagra" gesehen zu haben, bin mir aber nicht sicher.

Wie schon zuvor geschrieben, die Spalten credit_text und credit_text2 sind ohne Inhalt. Ich habe das überprüft, als ich den Test-Blog neuinstalliert hatte. Ich denke daher, dass dieser Link nichts mit dem Theme zu tun hat. :-?

Zitat von kaiser

nö, hat sicher nix mit deinem theme zu tun. eher damit das da jemand eine sql-injection auf deinen blog gemacht hat... gehackt worden bist du, das ist alles. lösch die elemente aus der db und schau, dass du 1. captcha wieder rein nimmst und 2. deine eingabefelder sicherst. anleitung dazu aber nicht hier im forum sondern an anderen stellen im web.

Ok, das mit dem hacken habe ich verstanden, aber was ich nicht verstehe ist, wie ich herausfinden kann wo in der Datenbank genau der Fehler jetzt ist.
Ich habe mal versucht die entsprechende Zeilen in der Datenbank zu löschen um zu verhindern, dass genau dort wieder diese Einträge eingefügt werden wie oben beschrieben. Musste aber feststellen, dass nach ca. 24 Stunden die beiden Spalten wieder da waren inklusive der komischen Links.

Ich wäre euch sehr dankbar, wenn ihr mir sagen könntet, wo ich denn was löschen muss. Kann es auch sein, dass es auch mit dem Gästebuch-Plugin zusammenhängt? Bei dem Gästebuch handelt es sich um "DMSguestbook".

Wenn ich nicht hier um Hilfe bitten kann, wo denn dann? :oops: