最近いくつかのサイトで奇妙なことが報告されました。 WordPress。
問題データ php.php_.php7_.gif
の神秘的な外観 .gif 画像と “x” ピンクの背景に黒。いずれの場合も、ファイルには次のような名前が付けられていました。 “php.php_.php7_.gif“、どこでも同じ特性を持っています。興味深いのは、このファイルが特定のユーザー/作成者によってアップロードされたものではないということです。 “アップロード者: (著者なし)“。
ファイル名： php.php_.php7_.gif
ファイルの種類: 画像/GIF
アップロードされた場所: 2019年7月11日
ファイルサイズ:
寸法: 300×300ピクセル
タイトル: php.php_.php7_
アップロード者: (著者なし)
デフォルトでは、この .GIF ファイルは次のようになります。 スクリプトが含まれています、のサーバーにアップロードされます 現在のアップロードフォルダー タイムラインから。与えられたケースでは: /root/wp-content/uploads/2019/07/。
もう 1 つの興味深い点は、サーバーにアップロードされたベース ファイル php.php_.php7_.gif はフォト エディタでは開けないことです。プレビュー、Photoshop、またはその他。その代わり、 サムネイルWordPress によっていくつかの次元で自動的に作成された (アイコン) は、完全に機能する .gif であり、開くことができます。あ “x” ピンクの背景に黒。
それは何ですか “php.php_.php7_.gif” これらの疑わしいファイルを削除するにはどうすればよいですか
これらのファイルを削除する可能性が高い マルウェア / ウイルス、それだけに限定していても解決にはなりません。間違いなく、php.php_.php7_.gif は正規の WordPress ファイルではないか、プラグインによって作成されたものではありません。
Web サーバー上では、それがあれば非常に簡単に識別できます。Linuxマルウェア検出 インストールされています。ウイルス対策/マルウェア対策プロセス “坂道” すぐに次のタイプのウイルスとして検出されました。 “{YARA}php_in_image“
FILE HIT LIST:
{YARA}php_in_image : /web/blog/public_html/wp-content/uploads/2019/07/php.php_.php7_.gif
1つ持っておくことを強くお勧めします Webサーバー上のウイルス対策ソフトウェアを更新する必要があります。さらに、ウイルス対策ソフトウェアは、Web ファイルに加えられた変更を永続的に監視するように設定する必要があります。
WordPressのバージョン そしてすべて モジュール（プラグイン）も更新する必要があります。私が見たところ、すべての WordPress サイトが感染しています。 php.php_.php7_.gif 共通要素としてプラグインがあります “WPレビュー“。最近更新を受け取ったプラグイン。その変更ログには次のものが含まれています。 脆弱性の問題を修正。
このマルウェアの影響を受けたサイトの 1 つで、error.log に次の行が見つかりました。
2019/07/11 13:08:10 [error] 25084#25084: *44118905 FastCGI sent in stderr: "PHP message: PHP Warning: array_filter() expects parameter 1 to be array, null given in /home/www/website.tld/public/wp-content/plugins/wp-review/includes/ajax.php on line 36" while reading response header from upstream, client: IP.IP.IP.IP, server: website.tld, request: "GET /wp-admin/admin-ajax.php?action=wpr-upload-comment-image HTTP/1.1", upstream: "fastcgi://127.0.0.1:9000", host: "website.tld", referrer: "website.tld"
このプラグインを通じて偽の画像がアップロードされたのではないかと思われます。このエラーは、最初は PORT fastcgi エラーから発生します。
重要な点は、このウイルス/WordPress マルウェアはサーバー上の PHP バージョンを実際には考慮していないということです。両方で見つけましたPHP5.6.40 だけでなくPHP 7.1.30。
この記事は、 メディア →図書館。
