Posible problema?

ramonjosegn · 9 Jun 2011

Desde el sitio Websitedefender, el cual sirve para recibir alertas de seguridad me llega una alarma (no sé si real) de que hay una posible infección en mi sitio web, me llega con estos datos, es un falso positivo?

Filename/wp-content/themes/wpnebula/footer.phpDescriptionSuspicious PHP CodePattern detectioneval(base64_decode('JF9YPWJhc2U2NF9kZWNvZGUoJF9YKTskX1g9c3RydHIoJF9YLCcxMjM0NTZhb3VpZScsJ2FvdWllMTIzNDU2Jyk7JF9SPWVyZWdfcmVwbGFjZSgnX19GSUxFX18nLCInIi4kX0YuIiciLCRfWCk7ZXZhbCgkX1IpOyRfUj0wOyRfWD0wOw==')

toledano · 9 Jun 2011

Por favor, usen títulos que ayuden a comprender de que trata su tema.

ramonjosegn · 9 Jun 2011

Sanchez Toledano dijo:
Por favor, usen títulos que ayuden a comprender de que trata su tema.

lo siento pero no se me ocurría algo mejor, porque "posible problema con websitedefender informando de un posible archivo sospechoso" me pareció un poco pedante...

toledano · 9 Jun 2011

Cualquier código encriptado en un tema de WP debe considerarse sospechoso. O se elimina el código encriptado o no se usa el tema.

Malenko · 9 Jun 2011

Tiene algun link tu theme que no hayas insertado tu? En el footer, por ejemplo.

ramonjosegn · 9 Jun 2011

me tocaría revisar

Sanchez Toledano dijo:
Cualquier código encriptado en un tema de WP debe considerarse sospechoso. O se elimina el código encriptado o no se usa el tema.

es la primera vez que Websitedefender me envía el aviso, ya había hecho un escaneo inicial...

Sommera · 9 Jun 2011

esa no es como una "restriccion" para que no elimines los links del footer y si lo haces deje de funcionar el theme?

me parece que es algo asi como que esta encriptado y si lo modificas deja de funcionar...

no estoy seguro igual, pero creo que es asi

ramonjosegn · 9 Jun 2011

ya, el problema es que es la primera vez que me llega ese aviso, como si hubiera sido modificada esa parte, y como ya tuve un ataque una vez en uno de mis blogs, pues me alarma un poco el avisito... tendría que revisar si hay cambios a la vista, como los links habituales de publicidad... en la tarde lo haré, porque tengo que mirar la plantilla original...

budha · 9 Jun 2011

Es bastante simple, lo que te estan diciendo es que tienes codigo malicioso en el Footer.php, simplemente ves al archivo footer.php de tu plantilla y seguro encontraras la inyeccion de codigo en base64, lo borras y listo.

Un saludo

javidecai · 9 Jun 2011

pasa si quieres por aqui el codigo del footer y vemos si es peligroso ese codigo que te pone
Saludos.

ramonjosegn · 9 Jun 2011

hola ahí dejo el código

PHP:

<?php $_F=__FILE__;$_X='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';eval(base64_decode('JF9YPWJhc2U2NF9kZWNvZGUoJF9YKTskX1g9c3RydHIoJF9YLCcxMjM0NTZhb3VpZScsJ2FvdWllMTIzNDU2Jyk7JF9SPWVyZWdfcmVwbGFjZSgnX19GSUxFX18nLCInIi4kX0YuIiciLCRfWCk7ZXZhbCgkX1IpOyRfUj0wOyRfWD0wOw=='));?>

Nachitox · 9 Jun 2011

esos themes con footer codificados casi nunca son confiables, es mucho mejor cambiar por otro o decodificar el archivo PHP.

ramonjosegn · 9 Jun 2011

voy a cambiar por otro, pero no entiendo porque el Websitedefender hasta ahora saltó...

Posible problema?

ramonjosegn

toledano

ramonjosegn

toledano

Malenko

ramonjosegn

Sommera

ramonjosegn

budha

javidecai

ramonjosegn

Nachitox

ramonjosegn

Temas similares