How to remove wordpress.net.in spams Remote Injection Como remover spams wordpress.net.in Remote Injeção

I found this while browsing WordPress support forum, some of these victims update their default_filters.php and upload class-mail.php inside their WordPress without being aware that it’sa backdoor (wordpress.net.in). Eu encontrei esse fórum enquanto navega WordPress apoio, algumas dessas vítimas atualizar seus default_filters.php e fazer o upload de classe-mail.php dentro de suas WordPress sem estar conscientes de que é um backdoor (wordpress.net.in). There is no class-mail.php in WordPress except class-phpmailer.php . Não existe nenhuma classe-mail.php em WordPress, excepto a classe-phpmailer.php. So don’t get confuse by it. Portanto, não se confunde com ela.

Below is a quick workaround on how you can removed the offending goro spamware injection before Google banned you from the internet pipes. Abaixo está uma solução rápida sobre como você pode removido o agressor Goro spamware injecção antes do Google proibiu-lhe a partir da Internet tubos.

Workaround Solução

• For temporary disable remote include in php.ini settings. Para desativar temporariamente remoto incluir no php.ini configurações.

   ;;;;;;;;;;;;;;;;;; ; Fopen wrappers ; ;;;;;;;;;;;;;;;;;;  ; Whether to allow the treatment of URLs (like http:// or ftp://) as files. ;;;;;;;;;;;;;;;;;;; Fopen wrappers; ;;;;;;;;;;;;;;;;;;; Quer a fim de permitir o tratamento de URLs (como http:// ou ftp://) como arquivos. allow_url_fopen = off allow_url_include = off allow_url_fopen = off allow_url_include = off 

• Check your .htaccess for suspicious redirect. Verifique o seu. Htaccess suspeitas de redirecionamento.
• Find class-mail.php inside “*/wp-includes/” directory and removed it. Encontre-mail.php classe privilegiada "* / wp-includes /" removido diretório e ele.
• Find the following code inside “*/wp-includes/default_filters.php” and removed it Localize o seguinte código dentro "* / wp-includes/default_filters.php" e suprimiu -

   add_action('wp_footer','wpc7c16b8466d864eeefd20050625c7775'); function wpc7c16<>b8466d864eeefd20050625c7775() { @include('./wp-includes/class-mail.php'); if(sizeof($wparr)>0){ echo "!div id=\"goro\"!"; foreach($wparr as $k=>$v){ echo "“.ucwords($v[’key’]).”\n”; if($i  ==$inum) break; } echo “!/div!”.$_footer; } } add_action ( "wp_footer ',' wpc7c16b8466d864eeefd20050625c7775 '); função wpc7c16 <> b8466d864eeefd20050625c7775 () (@ incluem ('. / wp-includes / class-mail.php '); if (sizeOf ($ wparr)> 0) (echo" ! div id = \ "Goro \"! "; foreach ($ wparr como $ k => $ v) (echo" ". ucwords ($ v [ 'chave'])." \ n"; if ($ i     = = $ inum) break;) echo "! / div !".$_ rodapé;)) 

• Robots.txt Exclusion Robots.txt Exclusão

  Optional - Prevent googlebot from indexing the static spam page. Opcional - Prevenir googlebot da indexação da página estática spam.
  Login to Wordpress Admin > Manage > Files > Other Files → Key in “Robots.txt”. Entrar para Wordpress Admin> Gerir> Arquivos> Outros arquivos →-chave na "Robots.txt". Add the following code. Adicione o seguinte código.

   User-agent: Googlebot Disallow: /*?* Disallow: /*? User-agent: Googlebot Disallow: / *? * Disallow: / *? 

  Refer robots.txt . Refer robots.txt.

Possible WordPress class (suspicious) files that would be tempered Possíveis WordPress classe (suspeitas) ficheiros que seria temperado

Md5 checksum the following files, compare it with official versions from WordPress Release Archive . Checksum MD5 dos seguintes arquivos, compará-la com versões oficiais de WordPress Release Archive.

• wp-db.php WP-db.php
• gettext.php gettext.php

The above methods only remove and disabled the spams links, there is no guarantee that it will protected you from future vulnerabilities. Os métodos acima apenas eliminar os spams e deficientes ligações, não há garantia de que irá proteger você de futuras vulnerabilidades. Backup (or export your post using WordPress eXtended RSS -WRX) and perform a full upgrade . Backup (ou exportar o seu post usando WordPress Extensão RSS-WRX), e executar uma atualização completa.

Dec 13, 2007 Dez. 13, 2007

I just notice this recently. Eu apenas este anúncio recentemente. You’ll need to check your site HTTP Header. Você precisa verificar o seu site cabeçalho HTTP. Most of the hijacked websites doesn’t response with correct HTTP Status Header (400<>500) . A maioria dos sites não sequestrou a resposta correta Status cabeçalho HTTP (400 <> 500). My guess is they did this to cloak from being crawl by search engine spiders. A minha suposição é que fiz a este manto de serem rastreados pelo motor de pesquisa aranhas. If you had cleaned all the infected files and your header doesn’t response correctly get a rookit scanner . Se você tivesse limpos todos os arquivos infectados e seu cabeçalho não obter uma resposta correcta rookit scanner.

Check your website status header, try cloak your browser (UA) as Search Engine Crawler. Verifique o seu site status cabeçalho, tente camuflar o seu navegador (UA) como motor de pesquisa do rastreador. The following screenshot will show you how to setup this at web-sniffer.net. A seguinte tela irá mostrar como a configuração deste web-sniffer.net.

This methods may not work if the cloaking scripts used IP base tracking. Este método pode não funcionar se o disfarce scripts utilizados IP base de monitoramento. So try on different user agent string (ie: inoktomi, askjeeves, ia_archiver). Então, tente com outro usuário string agente (ou seja: inoktomi, askjeeves, ia_archiver).

Firefox Browser Navegador Firefox

You can also override your useragent string with firefox ↓. Você também pode sobrepor a sua corda com useragent firefox ↓.

about:config → general.useragent.overide = ‘ ua strings ‘ about: config → general.useragent.overide = 'ua strings'

Wordpress.net.in Backdoor Wordpress.net.in Backdoor

Extra info Extra Info

Dec 14, 2007 Dez. 14, 2007

I did some research at archive.org . Fiz algumas pesquisas em archive.org. It seem our wordpress.net.in Seo Spam has been going on since 2005. É nossa wordpress.net.in Seo Spam parecem estar em curso desde 2005. The first variant used file_get_contents() PHP functions to retrieve their sources code (A UTF MAP Decoder 1974 Php Class ). A primeira variante utilizada file_get_contents () PHP funções para recuperar as suas fontes código (A UTF decodificador MAP 1974 Php classe).

I also found a signature name alxumuk (at MIT & wordpress.net.in). Eu também encontrado um nome alxumuk assinatura (no MIT & wordpress.net.in). His first historic test can be root back at *.media.mit.edu/~? server (I hide the userid as it may be “false positive”). Seu primeiro teste histórico pode ser a raiz de volta *. media.mit.edu / ~? Server (I ocultar o userid como ele pode ser "falso positivo"). After my first search on google for alxumuk all the results has been scraped out by Google & “Google alert” so there is no references to this query in Google Index. Após a minha primeira pesquisa no google por alxumuk todos os resultados tem sido raspados pela Google & "Google alerta" então não há referências a esta consulta no índice do Google.

My query for file_get_contents include require allintext:1974.* (the UTF decode package) and the signature (alxumuk) will return 403 Forbidden . A minha pergunta para incluir file_get_contents exigir allintext: 1974 .* (UTF decodificar o pacote) e da assinatura (alxumuk) irá retornar 403 Proibido.

As Google Advanced Search blocked “the query” this may confirm that 1974.* (UTF decode) is probably the package for reading the bootstrap for wordpress.net.in backdoor (similar case like perl.santy net worm). Como o Google Pesquisa Avançada bloqueado "à consulta" isso pode confirmar que 1974 .* (UTF decodificar) é provavelmente o pacote para a leitura do bootstrap para wordpress.net.in backdoor (caso semelhante como perl.santy líquido worm).

If this is a true Net Worm, I suggest anyone with older versions of Wordpress should removed\ the meta generator tag (Wordpress versions) and disabled XML-RPC(& RSD) for hardening wordpress from remote vectors vulnerabilities. Se este é um verdadeiro Net Worm, sugiro alguém com versões mais antigas do Wordpress deve removido \ o gerador meta tag (Wordpress versões) e deficientes XML-RPC (& DER) para endurecer wordpress remoto vetores de vulnerabilidades.

Wordpress.net.in Doorway Wordpress.net.in Doorway

Dec 24, 2007 → http://www.wordpress.net.in/mentors/alxumuk/ 24 de Dezembro de 2007 → http://www.wordpress.net.in/mentors/alxumuk/

Backdoor Files Backdoor Files

inside wp-includes directory. dentro wp-inclui diretório.

• compat.php - (replace with latest version) compat.php - (substitui a versão mais recente)
• class-mail.php delete - classe mail.php excluir

scan & removes all backdoor files and create a .htaccess file inside wp-includes & wp-content/plugins . digitalizar e remove todos os arquivos e criar um backdoor. htaccess arquivo dentro wp-inclui & wp-content/plugins. Then add the following code to disabled directory listing (prevent informations leak & Directory search index). Em seguida, adicione o código a seguir para deficientes diretório lista (informations evitar vazamento & Diretório pesquisa índice).

 Options -Indexes Opções-Índices 

Wordpress.net.in New Partner Wordpress.net.in novo parceiro

Feb 23th 2008 , We found a similar signature like wordpress.net.in at qwetro.com (germany). 23 de Fevereiro de 2008, Encontrámos uma assinatura semelhante como a wordpress.net.in qwetro.com (Alemanha). Probably from the same attacker with different agenda. Provavelmente a partir do mesmo atacante com outra ordem de trabalhos.

removes malicious create_function wp_head filters remove malicioso create_function wp_head filtros

This are fixes for wordpress.net.in spams header injection. Esta é fixa, para wordpress.net.in spams cabeçalho da injecção.

 /**  * Remove create_function action hook  * append on wordpress wp_head filters  *  * @author Avice De'véreux <ck@kaizeku.com>  * @copyright Copyright (c) 2006 Avice De'véreux  * @version 1.0  * @license http://www.gnu.org/licenses/lgpl.html GNU Lesser General Public License  * @link http://blog.kaizeku.com/wordpress/goro-spam-injection-wp-head-patch/  */ function remove_create_function_action() { global $wp_filter;   $action_ref = 'wp_head';  $filter  = $wp_filter[$action_ref];  $_lambda = array();   foreach(range(1,10) as $priority){    if (isset($filter[$priority]))   {    foreach($filter[$priority] as $registered_filter ){      $callback = (string) $registered_filter['function'];      if ( preg_match("/lambda/", $callback) ) {        $_lambda[$priority][] = $callback;     }    }    }  }   if ( count($_lambda) >= 0 ){    foreach($_lambda as $priority => $callback) {    if ( has_filter($action_ref,$callback) ){     remove_filter($action_ref, $callback, $priority, 1);    }   }  } }  add_action('init','remove_create_function_action'); / ** * Remover create_function acção hook * append a wordpress wp_head filtros * * @ autor Avice De'véreux <ck@kaizeku.com> * @ copyright Copyright (c) 2006 Avice De'véreux versão 1,0 * * @ @ license http: / / www.gnu.org / licenças / lgpl.html LGPL * @ link http://blog.kaizeku.com/wordpress/goro-spam-injection-wp-head-patch/ * / função remove_create_function_action ( ) (Global $ wp_filter; $ action_ref = 'wp_head'; $ filtro = $ wp_filter [$ action_ref]; $ _lambda = array (); foreach (range (1,10) como prioridade $) (if (isset ($ filtro [ $ prioridade])) (foreach ($ filtro [$ prioridade] como $ registered_filter) ($ ch = (string) $ registered_filter [ 'função']; se (preg_match ( "/ lambda /", $ ch)) ($ _lambda [$ prioridade] [] = $ ch;)))) if (count ($ _lambda)> = 0) (foreach ($ $ _lambda como prioridade => $ ch) (if (has_filter (US $ action_ref, US $ ch)) (Remove_filter (US $ action_ref, US $ ch, $ prioridade, 1);)))) add_action ( 'init', 'remove_create_function_action'); 

The plugin’s can be download at Kaizeku Ban, goro spam injection fixes O plugin do download pode ser a Kaizeku Ban, Goro spam injecção fixa

Related Posts Posts relacionados

• Bluehost HostMonster CEO’s Blog hacked (wordpress.net.in) Bluehost HostMonster CEO's Blog cortado (wordpress.net.in)
• Matt Heaton Bluehost Hostmonster CEO’s Hacked Again - Strike II Matt Heaton Bluehost Hostmonster CEO's cortou mais uma vez - greve II

External Links Ligações externas

• Websniffer View HTTP Request and Response Header Websniffer vista solicitação HTTP e resposta cabeçalho
• Wordpress Support Forum Wordpress apoio Fórum
• National Vulnerability Database Wordpress 2.0 > 2.0.6 Vulnerabilidade de Dados Nacional Wordpress 2,0> 2.0.6

Short URL Short URL