How to remove wordpress.net.in spams Remote Injection Como remover spams wordpress.net.in Remoto Injeção

I found this while browsing WordPress support forum, some of these victims update their default_filters.php and upload class-mail.php inside their WordPress without being aware that it’sa backdoor (wordpress.net.in). Encontrei este apoio enquanto navega WordPress fórum, algumas dessas vítimas atualizar seus default_filters.php e fazer o upload de classe-mail.php dentro de suas WordPress sem estar ciente de que este é um backdoor (wordpress.net.in). There is no class-mail.php in WordPress except class-phpmailer.php . Não existe uma classe-mail.php em WordPress, excepto a classe-phpmailer.php. So don’t get confuse by it. Portanto, não confunda chegar a ela.

Below is a quick workaround on how you can removed the offending goro spamware injection before Google banned you from the internet pipes. Abaixo está uma rápida solução sobre como você pode removeu o agressor goro spamware injecção antes do Google a partir proibidos pela internet você canos.

Workaround Solução alternativa

• For temporary disable remote include in php.ini settings. Para desativar temporariamente afastadas incluir no php.ini configurações.

   ;;;;;;;;;;;;;;;;;; 
   ; Fopen wrappers ; ; Fopen invólucros; 
   ;;;;;;;;;;;;;;;;;; 
  
   ; Whether to allow the treatment of URLs (like http:// or ftp://) as files. ; Quer seja para permitir o tratamento de URLs (como http:// ou ftp://), como arquivos. 
   allow_url_fopen = off allow_url_fopen = off 
   allow_url_include = off allow_url_include = off 
  

• Check your .htaccess for suspicious redirect. Verifique o seu. Htaccess para a redirecionamento desconfiada.
• Find class-mail.php inside “*/wp-includes/” directory and removed it. Encontra-aula mail.php dentro "* / wp-includes /" diretório e removido-lo.
• Find the following code inside “*/wp-includes/default_filters.php” and removed it Encontre o seguinte código dentro "* / wp-includes/default_filters.php" e ele removeu

   add_action('wp_footer','wpc7c16b8466d864eeefd20050625c7775'); add_action ( 'wp_footer', 'wpc7c16b8466d864eeefd20050625c7775'); 
   function wpc7c16<>b8466d864eeefd20050625c7775() { função wpc7c16 <> b8466d864eeefd20050625c7775 () ( 
   @include('./wp-includes/class-mail.php'); @ include ( '. / wp-includes / mail.php-class'); 
   if(sizeof($wparr)>0){ if (sizeof ($ wparr)> 0) ( 
   echo "!div id=\"goro\"!"; echo "! div id = \" goro \ "!"; 
   foreach($wparr as $k=>$v){ foreach ($ k $ wparr como => $ v) ( 
   echo "“.ucwords($v[’key’]).”\n”; echo "". ucwords ($ v [ 'chave'])." \ n "; 
   if($i  ==$inum) break; if ($ i   ==$ inum) break; 
   } ) 
   echo “!/div!”.$_footer; echo "! / div !".$_ rodapé; 
   } ) 
   } ) 
  

• Robots.txt Exclusion Robots.txt Exclusão

  Optional - Prevent googlebot from indexing the static spam page. Opcional - googlebot Impedir a indexação de spams a página estática.
  Login to Wordpress Admin > Manage > Files > Other Files → Key in “Robots.txt”. Faça o login para Wordpress Admin> Gerir> Arquivos> Outros Arquivos →-chave em "robots.txt". Add the following code. Adicione o seguinte código.

   User-agent: Googlebot User-agent: Googlebot 
   Disallow: /*?* Disallow: / *? * 
   Disallow: /*? Disallow: / *? 
  

  Refer robots.txt . Consulte robots.txt.

Possible WordPress class (suspicious) files that would be tempered WordPress possível classe (suspeito) arquivos que seria temperado

Md5 checksum the following files, compare it with official versions from WordPress Release Archive . MD5 os seguintes arquivos, compará-la com versões oficiais do WordPress Release Archive.

• wp-db.php wp-db.php
• gettext.php gettext.php

The above methods only remove and disabled the spams links, there is no guarantee that it will protected you from future vulnerabilities. Os métodos acima apenas remover os spams e deficientes ligações, não há garantia de que irá proteger você de futuras vulnerabilidades. Backup (or export your post using WordPress eXtended RSS -WRX) and perform a full upgrade . Backup (ou exportar sua postagem usando WordPress prorrogado por RSS WRX) e efectuar uma actualização completa.

Dec 13, 2007 13 de Dezembro de 2007

I just notice this recently. Acabei de perceber isso recentemente. You’ll need to check your site HTTP Header. Você precisa verificar o seu HTTP Header site. Most of the hijacked websites doesn’t response with correct HTTP Status Header (400<>500) . A maioria da sequestrou websites não com a resposta correta HTTP Status Cabeçalho (400 <> 500). My guess is they did this to cloak from being crawl by search engine spiders. Meu palpite é que eles fizeram isso de ser invisível para rastreamento pelo motor de pesquisa aranhas. If you had cleaned all the infected files and your header doesn’t response correctly get a rookit scanner . Se você tivesse limpos todos os arquivos infectados e seu cabeçalho não obter uma resposta correcta rookit scanner.

Check your website status header, try cloak your browser (UA) as Search Engine Crawler. Confira o site status cabeçalho, tente camuflar o seu navegador (UA), como mecanismo de pesquisa do rastreador. The following screenshot will show you how to setup this at web-sniffer.net. A seguinte tela irá mostrar como essa configuração em web-sniffer.net.

This methods may not work if the cloaking scripts used IP base tracking. Este métodos não funcionam se o disfarce scripts usados base de monitoramento IP. So try on different user agent string (ie: inoktomi, askjeeves, ia_archiver). Então experimente diferentes sobre seqüência de agente (ou seja: inoktomi, AskJeeves, ia_archiver).

Firefox Browser Navegador Firefox

You can also override your useragent string with firefox ↓. Você também pode sobrescrever sua seqüência com useragent ↓ firefox.

about:config → general.useragent.overide = ‘ ua strings ‘ about: config → general.useragent.overide = 'ua strings'

Wordpress.net.in Backdoor Wordpress.net.in Backdoor

Extra info Extra info

Dec 14, 2007 14 de Dezembro de 2007

I did some research at archive.org . Fiz algumas pesquisas na archive.org. It seem our wordpress.net.in Seo Spam has been going on since 2005. Ela parece a nossa wordpress.net.in Seo Spam já se arrasta desde 2005. The first variant used file_get_contents() PHP functions to retrieve their sources code (A UTF MAP Decoder 1974 Php Class ). A primeira variante utilizada file_get_contents () PHP funções para recuperar seu código fonte (A UTF Decodificador MAP 1974 Php classe).

I also found a signature name alxumuk (at MIT & wordpress.net.in). Eu também encontrei um nome alxumuk assinatura (no MIT & wordpress.net.in). His first historic test can be root back at *.media.mit.edu/~? server (I hide the userid as it may be “false positive”). Seu primeiro teste pode ser histórica para trás na raiz *. media.mit.edu / ~? Servidor (eu o userid ocultam uma vez que ela pode ser "falsos positivos"). After my first search on google for alxumuk all the results has been scraped out by Google & “Google alert” so there is no references to this query in Google Index. Depois de minha primeira pesquisa no google por alxumuk todos os resultados tem sido por raspagem pelo Google & "Google alerta" pelo que não há referências a esta consulta no índice do Google.

My query for file_get_contents include require allintext:1974.* (the UTF decode package) and the signature (alxumuk) will return 403 Forbidden . A minha pergunta necessitam para incluir file_get_contents allintext: 1974 .* (UTF decodificar o pacote) e da assinatura (alxumuk) irá retornar 403 Proibido.

As Google Advanced Search blocked “the query” this may confirm that 1974.* (UTF decode) is probably the package for reading the bootstrap for wordpress.net.in backdoor (similar case like perl.santy net worm). Como o Google Busca Avançada bloqueou "a consulta" isto pode confirmar que 1974 .* (UTF decodificar) é provavelmente o pacote para a leitura do bootstrap para wordpress.net.in backdoor (caso semelhante como perl.santy líquido verme).

If this is a true Net Worm, I suggest anyone with older versions of Wordpress should removed\ the meta generator tag (Wordpress versions) and disabled XML-RPC(& RSD) for hardening wordpress from remote vectors vulnerabilities. Se isto é um verdadeiro Net Worm, sugiro alguém com versões mais antigas do Wordpress deverá removido \ o gerador meta tag (Wordpress versões) e deficientes XML-RPC & (DER) para endurecimento wordpress vetores de vulnerabilidades remotas.

Wordpress.net.in Doorway Wordpress.net.in Doorway

Dec 24, 2007 → http://www.wordpress.net.in/mentors/alxumuk/ 24 de Dezembro de 2007 → http://www.wordpress.net.in/mentors/alxumuk/

Backdoor Files Backdoor Arquivos

inside wp-includes directory. dentro wp-inclui diretório.

• compat.php - (replace with latest version) compat.php - (substituir com última versão)
• class-mail.php delete class-mail.php apagar

scan & removes all backdoor files and create a .htaccess file inside wp-includes & wp-content/plugins . scan & remove todos os arquivos e crie um backdoor. htaccess arquivo dentro wp-inclui & wp-content/plugins. Then add the following code to disabled directory listing (prevent informations leak & Directory search index). Em seguida, adicione o seguinte código para deficientes diretório listagem (evitar vazamento informations & Directory pesquisa de índice).

 Options -Indexes Opções-Indexes 

Wordpress.net.in New Partner Wordpress.net.in novo parceiro

Feb 23th 2008 , We found a similar signature like wordpress.net.in at qwetro.com (germany). 23 de Fevereiro de 2008, Encontramos uma assinatura similar ao gosto wordpress.net.in qwetro.com (Alemanha). Probably from the same attacker with different agenda. Provavelmente a partir do mesmo atacante com outra ordem de trabalhos.

removes malicious create_function wp_head filters remove malicioso create_function wp_head filtros

This are fixes for wordpress.net.in spams header injection. Isto são correções para wordpress.net.in spams cabeçalho injeção.

 /** / ** 
  * Remove create_function action hook * Remover create_function ação gancho 
  * append on wordpress wp_head filters * Anexar sobre wordpress wp_head filtros 
  * 
  * @author Avice De'véreux <ck@kaizeku.com> * @ Autor Avice De'véreux <ck@kaizeku.com> 
  * @copyright Copyright (c) 2006 Avice De'véreux * @ Copyright Copyright (c) 2006 Avice De'véreux 
  * @version 1.0 * @ Version 1.0 
  * @license http://www.gnu.org/licenses/lgpl.html GNU Lesser General Public License * @ Http://www.gnu.org/licenses/lgpl.html licença GNU Lesser General Public License 
  * @link http://blog.kaizeku.com/wordpress/goro-spam-injection-wp-head-patch/ * @ Link http://blog.kaizeku.com/wordpress/goro-spam-injection-wp-head-patch/ 
  */ * / 
 function remove_create_function_action() remove_create_function_action função () 
 { global $wp_filter; ($ Wp_filter global; 

	 $action_ref = 'wp_head'; action_ref $ = 'wp_head'; 
	 $filter  = $wp_filter[$action_ref]; $ filtro = $ wp_filter [$ action_ref]; 
	 $_lambda = array(); _lambda $ = array (); 

	 foreach(range(1,10) as $priority){ foreach (variação (1,10) como prioridade $) ( 

		 if (isset($filter[$priority])) if (isset ($ filtro [$ prioridade])) 
		 { ( 
			 foreach($filter[$priority] as $registered_filter ){ foreach ($ filtro [$ prioridade], R $ registered_filter) ( 

				 $callback = (string) $registered_filter['function']; $ ch = (string) $ registered_filter [ 'função']; 

				 if ( preg_match("/lambda/", $callback) ) { if (preg_match ( "/ lambda /", $ ch)) ( 
		 	 		 $_lambda[$priority][] = $callback; $ _lambda [$ prioridade] [] = $ ch; 
				 } ) 
			 } ) 

		 } ) 
	 } ) 

	 if ( count($_lambda) >= 0 ){ if (count ($ _lambda)> = 0) ( 

		 foreach($_lambda as $priority => $callback) { foreach ($ $ _lambda como prioridade => $ ch) ( 
			 if ( has_filter($action_ref,$callback) ){ if (has_filter ($ action_ref, $ ch)) ( 
				 remove_filter($action_ref, $callback, $priority, 1); remove_filter ($ action_ref, $ callback, prioritariamente $, 1); 
			 } ) 
		 } ) 
	 } ) 
 } ) 

 add_action('init','remove_create_function_action'); add_action ( 'init', 'remove_create_function_action'); 

The plugin’s can be download at Kaizeku Ban, goro spam injection fixes O download do plugin pode ser a Kaizeku Ban, goro spam injecção correções

Related Posts Posts Relacionados

• Bluehost HostMonster CEO’s Blog hacked (wordpress.net.in) Bluehost HostMonster CEO's Blog cortada (wordpress.net.in)
• Matt Heaton Bluehost Hostmonster CEO’s Hacked Again - Strike II Matt Heaton Bluehost Hostmonster CEO's cortada novamente - Strike II

External Links Links externos

• Websniffer View HTTP Request and Response Header Websniffer visualizar cabeçalho HTTP pedido e resposta
• Wordpress Support Forum Wordpress Forum de Suporte
• National Vulnerability Database Wordpress 2.0 > 2.0.6 National Vulnerability Database Wordpress 2.0> 2.0.6

Short URL Short URL