Общая тема о борьбе с шеллами и вирусами на сайте

Такая проблема появилась - пару дней назад обнаружил на двух сайтах новых админов, на одном сайте их было три, на другом два. Зашёл на сайт хостера и увидел сообщение что надо срочно обновить Bash, ибо в нём появилась дырка. Обновил, админов удалил, пароли сменил, основные файлы проверил, ничего не нашёл, как теперь узнать есть ли на сайтах какая-то зараза или нет? Да, айболитом проверял, тоже ничего не нашёл.

Узнать можно только проверив глазами код, лично у меня айболитом половина клиентов, т.е. на него особо рассчитывать не стоит.

Кто-нибудь может расшифровать это:

Colt71, это просто картинка.

А чего она закодирована? Это было в файле css в папке движка, в оригинальном дистрибутиве этого файла нет, откуда он взялся не знаю.

Так иногда делают. :) Картинку можно и текстом в HTML вставить, закодировав в base64. Зато не потеряется...

Изучаю логи обращения к новому молодому сайту, и наткнулся на несколько "левых" запросов урлов

На WP кто-то обращается к урлам вида /wp-content/plugins/wp-symposium/server/php/ и похожим адресам, которыми на моём сайте даже не пахнет. Поскольку сайт молодой - то и ссылок на меня никто не ставил, взяться таким нерабочим линкам неоткуда.

В роботсе индексация плагинов и прочих служебных папок и ненужных для поиска адресов закрыта, но это, как я понимаю, видимо идет проверка на дыры со стороны желающих взломать сайт.

Нужно ли в .htaccess блокировать IP, с которых идут такие запросы?

Или так может обращаться не только злоумышленник, но и некоторые поисковые роботы и по такой блокировке есть риск вывалиться из индекса?

Неверные умозаключения.

ВП не только сам пингует и запрашивает внешние скрипты, и разные плагины и темы тоже. А если тема с помойки - то..

Плагин wp-symposium есть?

А домен в вебархиве проверял?

Лучше (и много проще) не по ИП выбирать, а отдавать 404 по таким путям. Впрочем ВП и сам это делает (но проверить стоит). Но если это будет создавать нагрузку - лучше передать 404 на сервер.

Домена в вебархиве нет, данных в истории whois тоже нет до моей регистрации.

Плагин также не установлен.

В перечне адресов, к которым такие айпи обращаются - есть не только отсутствующие плагины, но и какие-то левые файлы тем (видимо, зараженных из паблика со стандартными адресами, но моя тема в тех запросах отсутствует) и попытки загрузки каких-то файлов соответственно.

Вот я и подумал, что лучше такие айпи забанить в хтаксессе заранее, что с них ничего хорошего ждать не приходится...

Я неправ?

404 отдается

Ну вреда это скорее всего не принесёт (если это не ИП провайдеров домашних интернетов)