3

Buenas noches, Al parecer el ex-webmaster de la página me ha dejado cargado el backup, resulta que logré restaurar en modo local la web de WORDPRESS, y resulta que me sale un breve segundo la web y automáticamente la redirecciona a unas páginas pornográficas, porfavor si alguien pudiese ayudarme.

Saludos.

Edición el 13 de febrero de 2017:

RESUELTO (Parcialmente) Gracias por toda la ayuda.

Resulta que en efecto la página correcta (de infección : (http://google-statik.pw/l.php), la encontré en un tema (frau\header.php), como me indicaron eliminé window.location y un http://URLMALIGNA> Y el reporte de nod32AV fue el que me dió la URL con intento de phising, con dirección IP 217.12.204.185.

Sin embargo aún continúa muy lenta la carga (Se corrigió con actualizaciones en los temas) en el servidor local (como 50 segundos), creo que abriré otra pregunta al respecto, si alguien tiene alguna sugerencia lo agradecería.

Muchas gracias por su activa colaboración, quedo muy agradecido.

Reporte NOD32AV y encuentro de URL por notepad++

8
  • Primeramente, ya revisaste el código de la página default? agrega el código.
    – Jorgesys
    Commented el 10 feb. 2017 a las 23:52
  • Buenas noches, ante todo gracias por contestar. Te refieres a default1.php ¿verdad?.
    – David
    Commented el 11 feb. 2017 a las 0:00
  • No sabes cual es la que esta configurada? la que carga al inicio. puede ser index.html o default.html ....etc
    – Jorgesys
    Commented el 11 feb. 2017 a las 0:11
  • No la verdad, desconozco la configuración de esta web, el otro ex webmaster dejó el backup sin contraseñas y desapareció
    – David
    Commented el 11 feb. 2017 a las 0:13
  • 1
    Gracias por publicar tú solución @David. Pero en vez de editar tu pregunta con la forma en que lo solucionaste, siguiendo el formato del sitio, deberías eliminarlo de los pregunta y publicarlo como respuesta (1 pregunta arriba, las respuestas abajo)
    – Mariano
    Commented el 12 feb. 2017 a las 4:09

4 respuestas 4

4

Recomendaciones:

  1. Revisa los .htaccess si es que contienen algún redirect.
  2. Busca en el código algo como: window.location.replace("http://laPaginaMaliciosa); o window.location("http://laPaginaMaliciosa"); o de una vez a todos los window.location
  3. Considerando que es Wordpress, funciona con PHP, por lo tanto, busca en el código lo siguiente: header("Location: http://laPaginaMaliciosa.com");
  4. Ahora bien, a nivel de base de datos, en la tabla wp_post, la columna post_content, revisa lo anteriormente dicho.
  5. Si encuentras algo mencionado en los puntos anteriores, dale a lo terminator: dices "hasta la vista baby" y le das delete con ganas.
2
  • Ante todo, gracias por tu respuesta Acabo de revisarlos usando notepad++, no existe ningún window.location.replace solo encontré en dos javascript del menu: menuLocation.replace('%s',themeLocation)); en otro tercero en la carpeta wp-includes\js\backbone.min.js this.location.replace(this.root+"#"+this.fragment) En la base de datos le hice una consulta buscando algo relacionado y tampoco hay nada sospechoso, solo referencias entre archivos de la misma web.
    – David
    Commented el 11 feb. 2017 a las 2:25
  • 1
    Mmm en ese caso busca la URL entre todo el código. Y si no está, cambia de tema para verificar que no ha sido infectado el template
    – fredyfx
    Commented el 11 feb. 2017 a las 2:34
2

RESUELTO (Parcialmente) Gracias por toda la ayuda.

Resulta que en efecto la página correcta (de infección : (http://google-statik.pw/l.php), la encontré en un tema (frau\header.php), como me indicaron eliminé window.location y un http://URLMALIGNA> Y el reporte de nod32AV fue el que me dió la URL con intento de phising, con dirección IP 217.12.204.185.

Sin embargo aún continúa muy lenta la carga (Se corrigió con actualizaciones en los temas) en el servidor local (como 50 segundos), creo que abriré otra pregunta al respecto, si alguien tiene alguna sugerencia lo agradecería.

Muchas gracias por su activa colaboración, quedo muy agradecido.

Reporte NOD32AV y encuentro de URL por notepad++

1
  • brother, he actualizado tu pregunta con la información presentada en esta respuesta parcial, puedes aceptar tu propia respuesta tan pronto como puedas, me parece que es de 24 a 48 horas, así ayudamos a mantener la salud del sitio (referencia a % de preguntas resueltas) me alegra que tengas progreso :D éxitos con la misión! bendiciones :D
    – fredyfx
    Commented el 13 feb. 2017 a las 16:57
1

Buenas tardes, ¿Tienes acceso al backend de wordpress? si es asi te recomiendo utilizar un plugin llamado Wordfence que te dara la lista de archivos que podrian estar modificados / cambiados, ademas te sugiero utilizar un editor como phpstorm para buscar en el codigo todas las coincidencias de la pagina en el codigo de wordpress, saludos!

2
  • Gracias por tu respuesta Si de hecho tengo la contraseña del admin, pero no carga el backend. Es decir, no me da error de loggeo (que si cuando pongo una contraseña incorrecta a propósito) y al "cargar" me manda una pantalla en blanco.
    – David
    Commented el 11 feb. 2017 a las 1:18
  • Acabo de entrar al backend desde el frontend cancele la carga de la página en cuestión click-cpa.net/out?zoneId=1466739-1466890 (no le den click es un bicho creo o algo lo esta llamando) y pude mantener el sitio por un momento, instalaré el Wordfence a ver que sale. muchas gracias por la Guía
    – David
    Commented el 11 feb. 2017 a las 1:34
0

También podrías revisar las imagenes del tema, he escuchado este tipo de casos en los que el tema utiliza un codigo PHP eval() para utilizar el contenido del imagen para redireccionar.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.