$zend_frameworkあべてっく役に立ったり立たなかったりする内容を備忘録的にちょこちょこと。ハッキングTweetちょっと関わりのあるサイトで、WordPressの管理画面がおかしいというので調査をしました。入って見ると管理画面のレイアウトが崩れています。プラグインがうまく認識されてないのか、プラグイン一覧が空白になってます。false);を足すと管理画面の崩れはなおりました。プラグインはあいかわらず空っぽのままです。/wp-content/plugins/を確認してみると、プラグインはちゃんとあります。パーミッションも問題ないようです。もっかいwp-config.phpを確認してみます。・・・・よく見ると、冒頭に見慣れぬ行が入ってます。frameworkなんて使ってたっけ(・ω・`・・・(思考停止)あなんじゃこりゃー(・ω・`やられてました。いつの間にかなんか変なコードを埋め込まれてます。SSHでサーバーにログインし、findコマンド叩いてどれくらいやられてるか調査します。調べると、とりあえず感染しているのはPHPファイルだけのようです。感染ファイルのタイムスタンプは、以前作業した日とほぼ同じで特に怪しい感じはしない気がします。サーバーのログも洗ったのですが、FTP、SSHのアクセス履歴に怪しい箇所はありません。すると、wordpressの管理画面経由からパスワード総当たりで入られたか、元来の脆弱性を突かれたのでしょうか。・・・wordpressの管理ユーザーに、ユーザー名とパスワードが空白の人が追加されていました^^;やっぱり管理画面からやられたのでしょうか。WordPressに含まれていないPHPソースもやられてるので確証は持てません。他にも同様の事例がないか調べてみると、このような記事がありました。Hacksこの記事で埋め込まれたコードはこちらのものとほぼ同じです。自分が調査中の感染を(中途半端ながら)デコードしてみたものとこれまたほぼ同じでした。同一発信源と思われます。肝心のこの埋め込まれたブツが何をするかなのですが、上記のサイトの説明を参照させてもらうとどうやらIPやユーザーエージェントなどアクセスユーザーの環境情報を外部サイトに送り、その結果「なんか」をひっぱってくるそうです。なにを引っぱってくるのかは怖くて詳しく確認できませんでしたwなお外部サイトはIPでなくドメイン名で指定されています。caドメインなのでカナダのサーバーですね。カナダのwhoisで確認すると、ドメイン登録者のメールアドレスはロシアになっています。記事のコメント欄を見ると、ハロードリープラグインが怪しい、いや怪しくない、管理画面からパスワード総当たりされた等不確定な情報が飛び交っています。一応/wp-content/plugins/フォルダを確認してみると、確かに怪しいタイムスタンプで感染コードとハロードリープラグインが書かれたindex.phpが置いてありました。記事主の方は、もし感染したらとりあえず感染してないバックアップから復旧させるか、無理なら手作業で感染箇所を探して削除していくことと、またwordpressのプラグインが全て最新か確認することを推奨しています。wordpressを使用している皆様は是非一度ソース内のPHPファイルを確認されることをお勧めします。