谷姐:我们都是谷歌迷
We are all Google fans

我的WP站被黑分析-iloveloc

Rate this post

事情见上一个帖子:https://hostloc.com/forum.php?mo ... ;page=2#pid13453848
晚上无聊,把网站访问日志下载下来看了看。
对方(不确定是否同一人)一共在网站根目录放了5个新文件:
hleps.php 11月8日打开后可读我服务器所有文件,对wwwroot目录下所有文件有写权限
show.php 11月8日 打开后是个广告页,使用我服务器调用他的广告内容,然后返回给浏览器
post.php 11月8日 打开后是个广告页,使用我服务器调用他的广告内容,然后返回给浏览器
vwQFV.php 11月12日 应该是下载执行http://77.73.133.99/trester,不知道具体是在我服务器执行还是在浏览器执行。
wp-images.php 11月17日 这个是最早出现的,还经常被修改,不知道来源。好像是用来上传其他文件的,上面的4个文件应该都是通过这个文件上传的。因为每次攻击者post这个路径后, 都会紧跟着尝试访问另一个文件。
有没有大佬有过类似的遭遇? 。
攻击者IP:
183.160.214.79 安徽省合肥市蜀山区 电信这可能是攻击者最后用的IP,这畜生可能是先用境外机器扫成功了才自己上手。他首次访问的是aogSR.php,然后直接访问的hleps.php这个木马文件操纵的的服务器。

其他的IP都是境外的

178.207.218.163 俄罗斯鞑靼斯坦共和国
185.242.181.33意大利伦巴第米兰 仅一次
37.228.129.91芬兰南芬兰赫尔辛基 仅一次
79.137.69.34 波兰马佐夫舍华沙 很多次,次数最多
89.191.253.39 俄罗斯 仅一次
178.207.218.163 俄罗斯鞑靼斯坦共和国 次数第二

部分访问记录:

    79.137.69.34 - - [12/Nov/2022:05:49:59 +0800] "POST /wp-images.php HTTP/1.1" 200 263 "https://***.com/wp-images.php" "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:106.0) Gecko/20100101 Firefox/106.0"
    79.137.69.34 - - [12/Nov/2022:05:51:19 +0800] "GET /vwQFV.php HTTP/1.1" 499 0 "https://***.com/vwQFV.php" "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:106.0) Gecko/20100101 Firefox/106.0"

    178.207.218.163 - - [08/Nov/2022:03:29:52 +0800] "POST /wp-images.php HTTP/1.1" 200 262 "https://***.com/wp-images.php" "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:106.0) Gecko/20100101 Firefox/106.0"
    178.207.218.163 - - [08/Nov/2022:03:29:54 +0800] "GET /aogSR.php HTTP/1.1" 200 4914 "https://***.com/aogSR.php" "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:106.0) Gecko/20100101 Firefox/106.0"

    183.160.214.79 - - [08/Nov/2022:16:17:34 +0800] "GET /aogSR.php HTTP/2.0" 200 4895 "-" "Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/107.0.0.0 Safari/537.36"
    183.160.214.79 - - [08/Nov/2022:16:17:35 +0800] "GET /favicon.ico HTTP/2.0" 302 0 "https://***.com/aogSR.php" "Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/107.0.0.0 Safari/537.36"
    183.160.214.79 - - [08/Nov/2022:16:17:35 +0800] "GET /wp-includes/images/w-logo-blue-white-bg.png HTTP/2.0" 200 4119 "https://***.com/aogSR.php" "Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/107.0.0.0 Safari/537.36"
    183.160.214.79 - - [08/Nov/2022:16:17:43 +0800] "POST /aogSR.php HTTP/2.0" 200 4961 "https://***.com/aogSR.php" "Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/107.0.0.0 Safari/537.36"
    183.160.214.79 - - [08/Nov/2022:16:17:47 +0800] "GET /hleps.php HTTP/2.0" 200 670 "-" "Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/107.0.0.0 Safari/537.36"
    183.160.214.79 - - [08/Nov/2022:16:17:53 +0800] "POST /hleps.php HTTP/2.0" 200 731 "https://***.com/hleps.php" "Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/107.0.0.0 Safari/537.36"
    183.160.214.79 - - [08/Nov/2022:16:17:53 +0800] "GET /hleps.php?login=geturl HTTP/2.0" 200 913 "https://***.com/hleps.php" "Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/107.0.0.0 Safari/537.36"

热议
2楼 中央银行 3小时前

上安全狗

3楼 pjk 3小时前

为啥没给你清空日志呢

4楼 iloveloc 3小时前

上安全狗

有免费的吗? 能不能给推荐一个?

5楼 admin- 3小时前

哈哈哈 这安徽省合肥市蜀山区 代理都挂不明白学人日站。直接上传PHP那你问题有点大呀.

6楼 中央银行 3小时前

有免费的吗? 能不能给推荐一个?

http://free.safedog.cn/
免费

7楼 sanquanjun 3小时前

WP的话可以装个Wordfence插件试试?免费版也够用了

8楼 iloveloc 3小时前

为啥没给你清空日志呢

可能是他只有写wwwroot的权限吧, 没有wwwlogs的写权限。

9楼 iloveloc 3小时前

http://free.safedog.cn/
免费

谢谢大佬

10楼 iloveloc 3小时前

哈哈哈 这安徽省合肥市蜀山区 代理都挂不明白学人日站。直接上传PHP那你问题有点大呀. ...

不知道怎么回事,我用的wordpress最新版,一个正版主题avada,为数不多的几个插件。回头时间多了再好好查查。

12楼 Aa. 1小时前

wp这么容易被黑嘛?听说有专门的工具来扫漏洞

13楼 醋醋来啦 1小时前

正版主题的话,插件的问题吧,wp 用的人很多,如果是 wp自身的问题,肯定是大面积的站狗带

14楼 likai717 1小时前

还是0IP安全

15楼 micboy 半小时前

ip都有了,可以打110了

申明:本文内容由网友收集分享,仅供学习参考使用。如文中内容侵犯到您的利益,请在文章下方留言,本站会第一时间进行处理。

未经谷姐允许不得转载:谷姐靓号网 » 我的WP站被黑分析-iloveloc
分享到: 生成海报

热门文章

评论 抢沙发

评论前必须登录!

立即登录   注册

买Google Voice认准【谷姐靓号网】

Google Voice靓号列表Google Voice自助购买
切换注册

登录

点击按钮进行验证

忘记密码 ?

切换登录

注册

我们将发送一封验证邮件至你的邮箱, 请正确填写以完成账号注册和激活

点击按钮进行验证