После заражения сайта и лечения, стал автоматически создаваться файл. Кто знает, как это побороть?

Ссылка скопирована
HTML
1 ответ

После заражения сайта и лечения, стал автоматически создаваться файл. Может носить различн имена, типа:

jt5T082wUr_4OUKPGyBZr

Содержание:

# Netscape HTTP Cookie File
# https://curl.haxx.se/docs/http-cookies.html
# This file was generated by libcurl! Edit at your own risk.

Помогите, убрать это плиз, куда копать?

Дополнительные вопросы

Ответы:

Или недолечил или какой-то плагин/скрипт это делает.
В первом случае см сюда.
Во втором смотри в первую очередь на плагины типа парсеров.

  • спасибо!
Нужно решить такую задачу?

Опишите проблему, и специалист поможет с настройкой, исправлением ошибки или доработкой сайта. Подберём понятный план работ без лишней переписки.

Заказать помощь
Лучший ответ
1
Никита Орлов Ответ

Файл формата Netscape HTTP Cookie File, который генерируется libcurl, почти наверняка создаёт не браузер и не WordPress сам по себе, а какой-то PHP-скрипт/плагин, который использует cURL с cookie jar. После заражения это может быть как остаток вредоносного кода, так и легитимный парсер/интеграция, который пишет cookies в корень сайта.

Сначала нужно понять, кто создаёт файл. Не удаляйте его бесконечно вручную — он будет появляться снова, пока жив источник.

Проверка:

  1. Посмотрите дату и время создания файла.
  2. Сравните с access/error log сервера за эту минуту.
  3. Поищите по файлам сайта вызовы CURLOPT_COOKIEJAR и CURLOPT_COOKIEFILE.
  4. Проверьте wp-content/mu-plugins, плагины, тему, uploads на PHP-файлы.
  5. Проверьте cron-задачи WordPress и системный cron.

Поиск по проекту:

grep -R "CURLOPT_COOKIEJAR|CURLOPT_COOKIEFILE|curl_setopt" wp-content/

grep -R "CURLOPT_COOKIEJAR|CURLOPT_COOKIEFILE|curl_setopt" wp-content/

Если есть SSH, лучше:

find wp-content -type f -name "*.php" -print0 | xargs -0 grep -n "CURLOPT_COOKIEJAR|CURLOPT_COOKIEFILE"

find wp-content -type f -name "*.php" -print0 | xargs -0 grep -n "CURLOPT_COOKIEJAR|CURLOPT_COOKIEFILE"

Если файл создаётся в корне сайта, это плохой признак. Нормальный код должен писать временные файлы в безопасную временную директорию, а не рядом с WordPress. Для легитимного кода путь должен быть примерно таким:

$cookie_file = wp_tempnam('curl-cookies-');
curl_setopt($ch, CURLOPT_COOKIEJAR, $cookie_file);
curl_setopt($ch, CURLOPT_COOKIEFILE, $cookie_file);

$cookie_file = wp_tempnam('curl-cookies-'); curl_setopt($ch, CURLOPT_COOKIEJAR, $cookie_file); curl_setopt($ch, CURLOPT_COOKIEFILE, $cookie_file);

После заражения обязательно проверьте не только плагины, но и папку uploads на PHP-файлы. Очень часто вредоносные загрузчики лежат именно там. Также проверьте неизвестные админские аккаунты, задачи cron, изменённые .htaccess, странные файлы в корне и свежие изменения в теме.

Итог: файл создаёт cURL-код. Найдите конкретный вызов CURLOPT_COOKIEJAR или процесс по времени создания. Если это неизвестный код — сайт недолечен. Если это ваш парсер — перенесите cookie-файл во временную директорию и закройте доступ извне.

Другие ответы (0)

Пока нет других ответов. Будьте первым, кто поможет автору.

Ответить на вопрос

комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *

Вам также может быть интересно

VPN Как правильно настроить vless для Android TV? 0 ответов Pyrogram Как правильно зарегистрировать юзер бота в Telegram? 0 ответов печатные-платы Как заставить запускаться программу M3.exe от компании Hanxing AOI в инспекционной машине на Windows 7 Pro? 0 ответов 1С Как выдать дефолтному пользователю 1С 8.3 право на загрузку XML? 0 ответов