How to remove wordpress.net.in spams Remote Injection Как удалить спам wordpress.net.in Дистанционное инъекций

I found this while browsing WordPress support forum, some of these victims update their default_filters.php and upload class-mail.php inside their WordPress without being aware that it’sa backdoor (wordpress.net.in). Я нашел это в то время как просмотр WordPress поддержка форума, некоторые из этих жертв обновлять свои default_filters.php и загрузить класс-mail.php внутри их WordPress, не зная, что это бэкдор (wordpress.net.in). There is no class-mail.php in WordPress except class-phpmailer.php . Существует не-класс mail.php в WordPress, за исключением класса phpmailer.php. So don’t get confuse by it. Так что не путайте получить на него.

Below is a quick workaround on how you can removed the offending goro spamware injection before Google banned you from the internet pipes. Ниже приводится быстрый обходной о том, каким образом можно удалить нарушителя Гора spamware впрыска до Google запретил вам из интернета труб.

Workaround Обход

• For temporary disable remote include in php.ini settings. Для временного отключения дистанционного включить в php.ini настройки.

   ;;;;;;;;;;;;;;;;;; 
   ; Fopen wrappers ; ; FOPEN бандеролей; 
   ;;;;;;;;;;;;;;;;;; 
  
   ; Whether to allow the treatment of URLs (like http:// or ftp://) as files. Ли, чтобы обращение с URL-адресов (например, http:// или ftp://), как файлы. 
   allow_url_fopen = off allow_url_fopen = Off 
   allow_url_include = off allow_url_include = Off 
  

• Check your .htaccess for suspicious redirect. Проверьте вашу. Htaccess для подозрительных переадресацию.
• Find class-mail.php inside “*/wp-includes/” directory and removed it. Найти класса mail.php внутри "* / WP-включает /" директорию и удалить его.
• Find the following code inside “*/wp-includes/default_filters.php” and removed it Найдите следующий код внутри "* / wp-includes/default_filters.php" и удалили его

   add_action('wp_footer','wpc7c16b8466d864eeefd20050625c7775'); add_action ( 'wp_footer', 'wpc7c16b8466d864eeefd20050625c7775'); 
   function wpc7c16<>b8466d864eeefd20050625c7775() { Функция wpc7c16 <> b8466d864eeefd20050625c7775 () ( 
   @include('./wp-includes/class-mail.php'); @ включать ( '. / WP-включает / класс-mail.php'); 
   if(sizeof($wparr)>0){ если (sizeof ($ wparr)> 0) ( 
   echo "!div id=\"goro\"!"; Эхо "! Div ID = \" Гора \ "!"; 
   foreach($wparr as $k=>$v){ FOREACH ($ wparr при $ K => $ V) ( 
   echo "“.ucwords($v[’key’]).”\n”; Эхо "". ucwords ($ V [ 'ключевые'])." \ N "; 
   if($i  ==$inum) break; если ($ I   ==$ inum) перерыва; 
   } ) 
   echo “!/div!”.$_footer; Эхо "! / Div !".$_ колонтитул; 
   } ) 
   } ) 
  

• Robots.txt Exclusion Исключение Robots.txt

  Optional - Prevent googlebot from indexing the static spam page. Дополнительно - Запрет роботу Google индексировать спам статических страниц.
  Login to Wordpress Admin > Manage > Files > Other Files → Key in “Robots.txt”. Войти в Wordpress администратора> Управление> Файлы> другие файлы → ключа в "Robots.txt". Add the following code. Добавьте следующий код.

   User-agent: Googlebot User-Agent: поисковый робот Google 
   Disallow: /*?* Disallow: / *? * 
   Disallow: /*? Disallow: / *? 
  

  Refer robots.txt . См. robots.txt.

Possible WordPress class (suspicious) files that would be tempered Возможные WordPress класса (подозрительных) файлов, которые будут отпущенной

Md5 checksum the following files, compare it with official versions from WordPress Release Archive . Контрольная сумма MD5 следующие файлы, сравните ее с официальной версией от WordPress Архив.

• wp-db.php WP-db.php
• gettext.php gettext.php

The above methods only remove and disabled the spams links, there is no guarantee that it will protected you from future vulnerabilities. Приведенные выше методы только в удале-ния и инвалидов спам ссылок, нет никакой гарантии, что он будет защищен от вас в будущем уязвимостей. Backup (or export your post using WordPress eXtended RSS -WRX) and perform a full upgrade . Резервное копирование (или экспортировать свои должности с помощью WordPress продлен RSS-WRX), а также осуществлять полное обновление.

Dec 13, 2007 13 декабря 2007 года

I just notice this recently. Я просто заметить это в последнее время. You’ll need to check your site HTTP Header. Вам необходимо проверить ваш сайт HTTP заголовков. Most of the hijacked websites doesn’t response with correct HTTP Status Header (400<>500) . Большая часть угнанных сайты, не правильный ответ с HTTP заголовков статусе (400 <> 500). My guess is they did this to cloak from being crawl by search engine spiders. Моя догадаться, что они сделали это для прикрытия от сканирования к поисковой системе пауков. If you had cleaned all the infected files and your header doesn’t response correctly get a rookit scanner . Если вы были очищены все зараженные файлы, и ваш заголовок не получите ответа правильно rookit сканера.

Check your website status header, try cloak your browser (UA) as Search Engine Crawler. Проверить статус вашего веб-сайта заголовка, попробуйте плащ ваш браузер (UA), как поисковая система сканера. The following screenshot will show you how to setup this at web-sniffer.net. Следующий скриншот покажет вам, как настроить на этой веб-sniffer.net.

This methods may not work if the cloaking scripts used IP base tracking. Этот метод может не сработать, если сценарии используются клоакинг IP базы слежения. So try on different user agent string (ie: inoktomi, askjeeves, ia_archiver). Так попробуйте на разных строка агента пользователя (например: inoktomi, askjeeves, ia_archiver).

Firefox Browser Браузер Firefox

You can also override your useragent string with firefox ↓. Вы также можете переопределить ваши UserAgent строку с Firefox ↓.

about:config → general.useragent.overide = ‘ ua strings ‘ о: конфигурации → general.useragent.overide = 'UA струны "

Wordpress.net.in Backdoor Wordpress.net.in Backdoor

Extra info Дополнительная информация

Dec 14, 2007 14 Декабря 2007

I did some research at archive.org . Я сделал некоторые исследования на archive.org. It seem our wordpress.net.in Seo Spam has been going on since 2005. Она, как наши wordpress.net.in Сео спам продолжается уже с 2005 года. The first variant used file_get_contents() PHP functions to retrieve their sources code (A UTF MAP Decoder 1974 Php Class ). В первом варианте используются file_get_contents () PHP функций для извлечения их источников код (UTF КАРТА Декодер 1974 Php класс).

I also found a signature name alxumuk (at MIT & wordpress.net.in). Я также обнаружил подпись название alxumuk (в MIT И wordpress.net.in). His first historic test can be root back at *.media.mit.edu/~? server (I hide the userid as it may be “false positive”). Его первый исторический тест может быть корень обратно в *. media.mit.edu / ~? Сервер (я скрываюсь пользователя, как это может быть "ложноположительный"). After my first search on google for alxumuk all the results has been scraped out by Google & “Google alert” so there is no references to this query in Google Index. После моего первого поиск на Google по alxumuk все результаты были в Царапины на Google И "Google готовности", поэтому нет ссылки на этот запрос в Google индекс.

My query for file_get_contents include require allintext:1974.* (the UTF decode package) and the signature (alxumuk) will return 403 Forbidden . Мой запрос по file_get_contents включать требуют allintext: 1974 .* (UTF декодирования пакетов) и подпись (alxumuk) вернет 403 Запрещено.

As Google Advanced Search blocked “the query” this may confirm that 1974.* (UTF decode) is probably the package for reading the bootstrap for wordpress.net.in backdoor (similar case like perl.santy net worm). Как Google Расширенный поиск заблокирован ", запрос" это может подтвердить, что 1974 год .* (UTF декодировать), вероятно, пакет для чтения, для загрузки wordpress.net.in бэкдор (аналогичный случай, как perl.santy чистый червя).

If this is a true Net Worm, I suggest anyone with older versions of Wordpress should removed\ the meta generator tag (Wordpress versions) and disabled XML-RPC(& RSD) for hardening wordpress from remote vectors vulnerabilities. Если это верно Чистые Worm, я предлагаю, кто с более старыми версиями Wordpress следует удалить \ генератор мета-тегов (Wordpress версии) и инвалидов XML-RPC (И ОСБ) для упрочнения Wordpress из отдаленных векторов уязвимостей.

Wordpress.net.in Doorway Wordpress.net.in Вход

Dec 24, 2007 → http://www.wordpress.net.in/mentors/alxumuk/ 24 декабря 2007 → http://www.wordpress.net.in/mentors/alxumuk/

Backdoor Files Backdoor Файлы

inside wp-includes directory. внутри РГ-включает в себя каталог.

• compat.php - (replace with latest version) compat.php - (заменить в последней версии)
• class-mail.php delete Класс-mail.php удалить

scan & removes all backdoor files and create a .htaccess file inside wp-includes & wp-content/plugins . сканирование И бэкдор удаляет все файлы и создавать. htaccess файл внутри РГ-включает И wp-content/plugins. Then add the following code to disabled directory listing (prevent informations leak & Directory search index). Затем добавить следующий код в каталоге реклама инвалидов (предотвращения утечки информации И Directory поисковый индекс).

 Options -Indexes Параметры индексов 

Wordpress.net.in New Partner Wordpress.net.in нового партнера

Feb 23th 2008 , We found a similar signature like wordpress.net.in at qwetro.com (germany). 23 февраля 2008 году, мы обнаружили аналогичные подписи, как wordpress.net.in на qwetro.com (Германия). Probably from the same attacker with different agenda. Наверное, из той же злоумышленник с различными дня.

removes malicious create_function wp_head filters удаляет вредоносные create_function wp_head фильтры

This are fixes for wordpress.net.in spams header injection. Это является для исправления wordpress.net.in спам заголовка инъекций.

 /** / ** 
  * Remove create_function action hook * Удалить create_function действия крюка 
  * append on wordpress wp_head filters * Добавить в Wordpress wp_head фильтры 
  * 
  * @author Avice De'véreux <ck@kaizeku.com> * @ Автор Avice De'véreux <ck@kaizeku.com> 
  * @copyright Copyright (c) 2006 Avice De'véreux * @ Авторского права Copyright (C) 2006 Avice De'véreux 
  * @version 1.0 * @ Версии 1.0 
  * @license http://www.gnu.org/licenses/lgpl.html GNU Lesser General Public License * @ Лицензии GNU http://www.gnu.org/licenses/lgpl.html Малого General Public License 
  * @link http://blog.kaizeku.com/wordpress/goro-spam-injection-wp-head-patch/ * @ Связь http://blog.kaizeku.com/wordpress/goro-spam-injection-wp-head-patch/ 
  */ * / 
 function remove_create_function_action() Функция remove_create_function_action () 
 { global $wp_filter; ($ Глобального wp_filter; 

	 $action_ref = 'wp_head'; $ action_ref = 'wp_head'; 
	 $filter  = $wp_filter[$action_ref]; $ фильтр = $ wp_filter [$ action_ref]; 
	 $_lambda = array(); $ _lambda = Array (); 

	 foreach(range(1,10) as $priority){ FOREACH (диапазон (1,10) в качестве приоритетного $) ( 

		 if (isset($filter[$priority])) если (isset ($ фильтра [$ приоритетных])) 
		 { ( 
			 foreach($filter[$priority] as $registered_filter ){ FOREACH ($ фильтра [$ приоритетных], как $ registered_filter) ( 

				 $callback = (string) $registered_filter['function']; $ вызова = (строка) $ registered_filter [ 'Функция']; 

				 if ( preg_match("/lambda/", $callback) ) { если (preg_match ( "/ лямбда /", $ вызова)) ( 
		 	 		 $_lambda[$priority][] = $callback; $ _lambda [$ приоритетных] [] = $ вызова; 
				 } ) 
			 } ) 

		 } ) 
	 } ) 

	 if ( count($_lambda) >= 0 ){ если (кол ($ _lambda)> = 0) ( 

		 foreach($_lambda as $priority => $callback) { FOREACH ($ _lambda в качестве приоритетных $ => $ вызова) ( 
			 if ( has_filter($action_ref,$callback) ){ если (has_filter ($ action_ref, $ вызова)) ( 
				 remove_filter($action_ref, $callback, $priority, 1); remove_filter ($ action_ref, $ вызова, $ приоритет, 1); 
			 } ) 
		 } ) 
	 } ) 
 } ) 

 add_action('init','remove_create_function_action'); add_action ( 'начальной', 'remove_create_function_action'); 

The plugin’s can be download at Kaizeku Ban, goro spam injection fixes Плагина можно скачать на Kaizeku Пан, Горо спам впрыска исправления

Related Posts Соответствующих должностей

• Bluehost HostMonster CEO’s Blog hacked (wordpress.net.in) Bluehost HostMonster CEO's блог взломали (wordpress.net.in)
• Matt Heaton Bluehost Hostmonster CEO’s Hacked Again - Strike II Мэтт Хитон Bluehost Hostmonster CEO's взломали еще раз - удар II

External Links Внешние ссылки

• Websniffer View HTTP Request and Response Header Websniffer мнение HTTP запрос и ответ заголовка
• Wordpress Support Forum Wordpress Поддержка Форум
• National Vulnerability Database Wordpress 2.0 > 2.0.6 Национальная база данных Уязвимость Wordpress 2,0> 2.0.6

Short URL Короткий URL