10月, 2018

wordpressからマルウェア（wp-vcd）を除去する

wordpress製サイトの調査依頼があったので調べてみるとfunctions.phpが書き換えられています。

以前、不正にFTPでアクセスされ、コードを埋め込まれたサイトを修復した時とは違い、マルウェアを埋め込まれたようなので修復方法を調査してみました。

先回の対策だけではヘッダにユーザ名が表示されてしまうので、もうひと手間追加をする。
URLのクエリにauthorが含まれていたら除外する処理をfunction.phpに追加することで、表示させないようにする。

<?php
function remove_author_name() {
  $_GET['author'] = '';
}
add_action( 'init', 'remove_author_name' );

<?php

function remove_author_name() {

$_GET['author'] = '';

}

add_action( 'init', 'remove_author_name' );

これで、?author=1でユーザ名を調べられなくなったはず。