emwai

FTPのソフトでは不可視ファイルも表示する

こちらでは、ハッキングにより設置されたPHPは、.****.icoのようにドットから始まる名前（ファイル名は都度変わる）のファイルをインクルード（取り込み）していました。FTPのソフトで不可視ファイルを表示する設定になっていないと、これらドットから始まるファイルは表示されないので注意してください。

また、インクルードする際のファイルパスは難読化されています。こちらでは一文字ごとに難読化して復元しにくい状態でした。同じような名前のフォルダがたくさんあれば大変ですが、このままでも目視で特定することはある程度可能です。
例えば
@include "/\167p\055c\157n\164e\156t\057p\154u\147i\156s"
は
@include "/wp-content/plugins"
となります。

WordPressのコアファイルやプラグイン、テーマは上書きせず削除して再アップロードする

バックドアとなる侵入経路確保のためのファイルがサーバ内の各所に追加されるため、wp-adminなどのコアファイルやテーマフォルダは上書きするだけでは十分ではありません。フォルダをクリーンアップするために、これらを削除して再アップロードすることが必要です。

フォルダの削除やアップロードに時間がかかる場合、一度wp-admin2やwp-includes2のような名前に変えておいてからアップロードして、サーバ上の感染フォルダをsuteru-wp-adminのような適当な名前に変更してすぐ新しいフォルダの名前をもとに戻すようにすると、フォルダの消失時間を削減できます。

プラグインは必ずバージョンアップまたは削除する

当方では、当該プラグインの特性上「管理画面でのみ有効化されるよう別プラグインで管理」しているにも関わらずハッキングされました。プラグインを停止するだけでは不十分の可能性があるので、バージョンアップまたは削除するようにしてください。

サーバのルートまでさかのぼってチェックする

サイトに感染があったら、そのサイトだけでなく同じウェブサーバ内すべてをチェックした方が良いかも知れません。当方では、同じウェブサーバにある別フォルダ（サブドメイン）にも、ハッキングによるindex.phpがアップロードされていました。ちなみにこのサブドメインにワードプレスはインストールされていませんので、パスを走査しているものと思われます。さくらインターネットの共用レンタルサーバの例では、感染のあるサーバの/www/以下すべてをチェックします。

データベースのパスワードも変更する

ハッキングされると、WordPressのindex.phpやwp-config.phpに不正なコードが書き込まれます。wp-config.phpにはデータベースのパスワードが直書きされているので、除染後にパスワード変更を行ったほうが良いでしょう。

なお、さくらインターネットのレンタルサーバに付属するデータベースは、外部サーバからは接続できない仕様になっていますが、こちらでは念のためこのデータベースもパスワード変更しました。