How to Remove Wordpress.net.in Spam Injection How to Remove Wordpress.net.in Spam Injection Cómo eliminar el spam Wordpress.net.in inyección cómo eliminar el spam Wordpress.net.in inyección

I found this while browsing WordPress support forum, some of these victims update their default_filters.php and upload class-mail.php inside their WordPress without being aware that it’sa backdoor (wordpress.net.in). He encontrado este durante la navegación WordPress foro de soporte, algunas de estas víctimas actualizar sus default_filters.php y subir de clase-mail.php dentro de sus WordPress sin ser consciente de que es una puerta trasera (wordpress.net.in). There is no class-mail.php in WordPress except class-phpmailer.php . No hay clase-mail.php WordPress excepto en clase-phpmailer.php. So don’t get confuse by it. Por lo tanto, no se confundan por el mismo.

Below is a quick workaround on how you can removed the offending goro spamware injection before Google banned you from the internet pipes. A continuación se presenta una rápida solución sobre cómo puede eliminarse el infractor Goro spamware inyección antes de que Google prohibido de las tuberías de Internet.

Workaround Solución

• For temporary disable remote include in php.ini settings. Para desactivar temporalmente a distancia incluyen la configuración en php.ini.

   ;;;;;;;;;;;;;;;;;; ; Fopen wrappers ; ;;;;;;;;;;;;;;;;;;  ; Whether to allow the treatment of URLs (like http:// or ftp://) as files. ;;;;;;;;;;;;;;;;;;; Fopen wrappers; ;;;;;;;;;;;;;;;;;;; para permitir o no el tratamiento de URL (como http:// o ftp://) como archivos. allow_url_fopen = off allow_url_include = off allow_url_fopen = off allow_url_include = off 

• Check your .htaccess for suspicious redirect. Chequea tu. Htaccess para redirigir sospechosas.
• Find class-mail.php inside “*/wp-includes/” directory and removed it. Encuentra clase-mail.php dentro "* / wp-includes /" directorio y lo borré.
• Find the following code inside “*/wp-includes/default_filters.php” and removed it Encuentra el siguiente código dentro de "* / wp-includes/default_filters.php" y lo borré

   add_action('wp_footer','wpc7c16b8466d864eeefd20050625c7775'); function wpc7c16<>b8466d864eeefd20050625c7775() { @include(’./wp-includes/class-mail.php’); if(sizeof($wparr)>0){ echo “!div id=\”goro\”!”; foreach($wparr as $k=>$v){ echo ““.ucwords($v[’key’]).”\n”; if($i  ==$inum) break; } echo “!/div!”.$_footer; } } add_action ( 'wp_footer', 'wpc7c16b8466d864eeefd20050625c7775'); función wpc7c16 <> b8466d864eeefd20050625c7775 () (@ include ( '. / wp-includes / class-mail.php'); if (sizeof ($ wparr)> 0) (echo " ! div id = \ "Goro \"! "; foreach ($ wparr como $ k => $ v) (echo" ". ucwords ($ v [ 'clave'])." \ n"; if ($ i     = = $ inum) break;) echo "! / div !".$_ pie de página;)) 

• Robots.txt Exclusion La exclusión robots.txt

  Optional - Prevent googlebot from indexing the static spam page. Opcional - evitar que Googlebot indexación de la página estática spam.
  Login to Wordpress Admin > Manage > Files > Other Files → Key in “Robots.txt”. Ingresar a Wordpress administrador> Administrar> Archivos> Otros archivos → clave en "Robots.txt". Add the following code. Añadir el siguiente código.

   User-agent: Googlebot Disallow: /*?* Disallow: /*? User-agent: Googlebot Disallow: / * * Disallow: / *? 

  Refer robots.txt . Consulte el archivo robots.txt.

Possible WordPress class (suspicious) files that would be tempered Posibles WordPress clase (sospechosas) los archivos que se templado

Md5 checksum the following files, compare it with official versions from WordPress Release Archive . Suma de control MD5 en los siguientes ficheros, compararla con las versiones oficiales de WordPress Release Archive.

• wp-db.php WP-db.php
• gettext.php gettext.php

The above methods only remove and disabled the spams links, there is no guarantee that it will protected you from future vulnerabilities. Los métodos anteriores sólo eliminar los discapacitados y los spams vínculos, no hay garantía de que se le protege de futuras vulnerabilidades. Backup (or export your post using WordPress eXtended RSS -WRX) and perform a full upgrade . Copia de seguridad (o su posterior exportación mediante WordPress RSS-eXtended WRX) y realizar una completa actualización.

Dec 13, 2007 13-dic-2007

I just notice this recently. Acabo de este anuncio recientemente. You’ll need to check your site HTTP Header. Usted tendrá que comprobar su sitio de cabecera HTTP. Most of the hijacked websites doesn’t response with correct HTTP Status Header (400<>500) . La mayoría de los secuestrados páginas web no respuesta correcta con el Estado de cabecera HTTP (400 <> 500). My guess is they did this to cloak from being crawl by search engine spiders. Mi adivinar es que hicieron a este manto de ser rastreo de las arañas de los motores de búsqueda. If you had cleaned all the infected files and your header doesn’t response correctly get a rookit scanner . Si usted ha limpiado todos los archivos infectados y su cabecera no respuesta correcta obtener un rookit escáner.

Check your website status header, try cloak your browser (UA) as Search Engine Crawler. Revise su página web la condición de cabecera, intente encubrir su navegador (UA) como rastreadores de motores de búsqueda. The following screenshot will show you how to setup this at web-sniffer.net. La siguiente captura de pantalla le mostrará cómo configurar esta en la web sniffer.net.

This methods may not work if the cloaking scripts used IP base tracking. Esta métodos puede no funcionar si el encubrimiento scripts base utilizado IP de seguimiento. So try on different user agent string (ie: inoktomi, askjeeves, ia_archiver). Por lo tanto, tratar a diferentes cadenas agente de usuario (es decir: inoktomi, askjeeves, ia_archiver).

Firefox Browser Navegador Firefox

You can also override your useragent string with firefox ↓. También puede anular su cadena de usuario con firefox ↓.

about:config → general.useragent.overide = ‘ ua strings ‘ about: config → general.useragent.overide = 'ua cuerdas'

Wordpress.net.in Backdoor Wordpress.net.in Backdoor

Extra info Extra Info

Dec 14, 2007 14-dic-2007

I did some research at archive.org . Hice algunas investigaciones en archive.org. It seem our wordpress.net.in Seo Spam has been going on since 2005. Es nuestro parecer wordpress.net.in Seo Spam se ha venido realizando desde el año 2005. The first variant used file_get_contents() PHP functions to retrieve their sources code (A UTF MAP Decoder 1974 Php Class ). La primera variante utilizada file_get_contents () las funciones de PHP para recuperar sus fuentes de código (UTF MAPA decodificador Php Clase 1974).

I also found a signature name alxumuk (at MIT & wordpress.net.in). También encontré una firma nombre alxumuk (en el MIT y wordpress.net.in). His first historic test can be root back at *.media.mit.edu/~? server (I hide the userid as it may be “false positive”). Su primera prueba histórica se puede volver a raíz *. media.mit.edu / ~? Servidor (I ocultar el userid que sea "falso positivo"). After my first search on google for alxumuk all the results has been scraped out by Google & “Google alert” so there is no references to this query in Google Index. Después de mi primera búsqueda en google para alxumuk todos los resultados se ha rascado a cabo por Google y el "Google de alerta" por lo que no hay referencias a esta consulta en índice de Google.

My query for file_get_contents include require allintext:1974.* (the UTF decode package) and the signature (alxumuk) will return 403 Forbidden . Mi pregunta para incluir file_get_contents requieren allintext: 1974 .* (UTF decodificar el paquete) y la firma (alxumuk) devolverá 403 Prohibido.

As Google Advanced Search blocked “the query” this may confirm that 1974.* (UTF decode) is probably the package for reading the bootstrap for wordpress.net.in backdoor (similar case like perl.santy net worm). Como Google Búsqueda Avanzada bloqueado "la consulta" esto puede confirmar que 1974 .* (UTF descifrar) es probablemente el paquete para la lectura de arranque para wordpress.net.in puerta trasera (caso similar como perl.santy neto gusano).

If this is a true Net Worm, I suggest anyone with older versions of Wordpress should removed\ the meta generator tag (Wordpress versions) and disabled XML-RPC(& RSD) for hardening wordpress from remote vectors vulnerabilities. Si esto es un verdadero Net Worm, me permito sugerir que cualquier persona con versiones antiguas de Wordpress debería eliminarse \ generador de la etiqueta meta (Wordpress versiones) y los discapacitados XML-RPC (& RSD) para wordpress endurecimiento de los vectores de vulnerabilidades remotas.

Wordpress.net.in Doorway Wordpress.net.in Doorway

Dec 24, 2007 → http://www.wordpress.net.in/mentors/alxumuk/ Diciembre 24, 2007 → http://www.wordpress.net.in/mentors/alxumuk/

Backdoor Files Backdoor Archivos

inside wp-includes directory. dentro de wp-incluye directorio.

• compat.php - (replace with latest version) compat.php - (sustituir con versión más reciente)
• class-mail.php delete clase-mail.php borrar

scan & removes all backdoor files and create a .htaccess file inside wp-includes & wp-content/plugins . exploración y elimina todos los archivos de puerta trasera y crear un archivo. htaccess archivo dentro de wp-incluye & wp-content/plugins. Then add the following code to disabled directory listing (prevent informations leak & Directory search index). A continuación, añada el siguiente código para discapacitados listado de directorio (evitar fugas de información y Directorio índice de búsqueda).

 Options -Indexes Opciones-Índices 

Wordpress.net.in New Partner Wordpress.net.in nuevo socio

Feb 23th 2008 , We found a similar signature like wordpress.net.in at qwetro.com (germany). 23 de Febrero de 2008, hemos encontrado una firma similar a como wordpress.net.in qwetro.com (alemania). Probably from the same attacker with different agenda. Probablemente a partir de la misma atacante con agenda diferente.

Related Posts Puestos relacionados

• Bluehost HostMonster CEO’s Blog hacked (wordpress.net.in) Bluehost HostMonster CEO's Blog hackeado (wordpress.net.in)
• Matt Heaton Bluehost Hostmonster CEO’s Hacked Again - Strike II Matt Heaton Bluehost Hostmonster CEO's hackeado de nuevo - la huelga II

External Links Enlaces externos

• Websniffer View HTTP Request and Response Header Ver Websniffer petición HTTP y la respuesta Header
• Wordpress Support Forum Wordpress foro de soporte
• National Vulnerability Database Wordpress 2.0 > 2.0.6 Base de Datos Nacional de la vulnerabilidad de Wordpress 2,0> 2.0.6

Short URL Corto URL

Bookmarks Marcadores

• Share This Comparte esta experiencia