Вход в админку WP

@Antoshqua · Регистрация: 16.06.2016

Студворк — интернет-сервис помощи студентам

Вообщем на главной странице сайта вылезла какая-то дрянь, она же и не дает зайти в админку...
Переименовывал plugins & themes, результата нет.
Еще при вводе логина и пароля - страница перезагружается опять на wp-login
И ошибка: ERROR: Cookies are blocked due to unexpected output.
сайт - tantema ru
Если кто знает как убрать - помогите пожалуйста...

@caesarnn · 16.06.2016, 18:07

Ваш сайт взломан.

Добавлено через 16 минут
Вам необходимо просканировать Ваш сайт на вредоносный код и удалить его (более подробно ответил Вам на почту ********rf@mail.ru).

Добавлено через 3 минуты
Просканировать сайт на вирусы нужно локально (выгрузить сайт к себе на компьютер, а затем проверить с помощью специальных утилит).
Вы можете проверить Ваш сайт с помощью утилиты "Айболит" от компании "Ревизиум" (https://revisium.com/kb/scan_site_windows.html) или же с помощью сканера DrWeb CureIt

Добавлено через 1 минуту
Также можно, не выгружая сайт к себе на ПК, проверить встроенным антивирусом "Хостинг-Центра" (насколько я знаю, они тоже используют "Айболит"), а затем проверить вручную файлы из списка и удалить вредоносный код.

Добавлено через 43 минуты
У Вас там написано, что домен tantema.ru истекает 13.06.2016 и ещё надпись "Click here to renew it" (Нажмите, чтобы оплатить его (дословно:обновить), ссылка ведёт на мошеннический сайт.

Добавлено через 1 минуту
( У Вас домен истекает гораздо позднее).

@caesarnn · 16.06.2016, 19:02

Для того, чтобы восстановить работу хотя бы админки, Вам надо:
1. Загрузить в папку public_html (htdocs, или www - у кого как) архив (он в приложении). Затем распаковать его у себя на ПК, и по FTP заменить все папки и файлы на сайте (кроме папки wp-content) на файлы из архива. А как решать проблему с рекламой(на скрине) - можете обратиться ко мне или стороннему специалисту.

@Antoshqua · 16.06.2016, 21:09 **[ТС]**

Я так понимаю в каком-то js файле идут ссылки на картинки, которые были на определенном сайте, а у сайта закончился срок аренды домена или хостинга и в итоге получилось ЭТО...
Или я не так понимаю? Просмотрел все js,php файлы, нигде нет этих ссылок. Что за магия

@caesarnn · 16.06.2016, 21:56

PHP
1
2
3
  <ul class="clearfix">
                    <li><a href="javascript:if(confirm('http://rcloud.img-css-js-cdn.com/find_a_tutor.cfm?fp=uAISN1aBqso3YiP6S0ursGzcPwBNCYf9KH95PRr9BMUmHFCNUAkLSh9MCW%2B5dH8BMwPJL1swjb5cxNhZyUMYIivhdc0m%2FgnVfh4GoeaOL7hz9sXdBZl38uJa077fJVKZDyBxTJ2jzpkutNrTd3Q0riMGgbCyrXzw8ghpoWFYOOAcEZaPLuH0xAS%2BIUpj7eBd&klb=2&maxads=0&kld=1042&prvtof=Sedql5Wdj9%2FbbqSjhvw%2BMAq8SPHfeD5RLiITiq4LVUI%3D&&&kt=112&&ki=10844596&ktd=0&kld=1042&kp=1  \n\nThis file was not retrieved by Teleport Pro, because it is addressed on a domain or path outside the boundaries set for its Starting Address.  \n\nDo you want to open it from the server?'))window.location='http://rcloud.img-css-js-cdn.com/find_a_tutor.cfm?fp=uAISN1aBqso3YiP6S0ursGzcPwBNCYf9KH95PRr9BMUmHFCNUAkLSh9MCW%2B5dH8BMwPJL1swjb5cxNhZyUMYIivhdc0m%2FgnVfh4GoeaOL7hz9sXdBZl38uJa077fJVKZDyBxTJ2jzpkutNrTd3Q0riMGgbCyrXzw8ghpoWFYOOAcEZaPLuH0xAS%2BIUpj7eBd&klb=2&maxads=0&kld=1042&prvtof=Sedql5Wdj9%2FbbqSjhvw%2BMAq8SPHfeD5RLiITiq4LVUI%3D&&&kt=112&&ki=10844596&ktd=0&kld=1042&kp=1'" tppabs="http://rcloud.img-css-js-cdn.com/find_a_tutor.cfm?fp=uAISN1aBqso3YiP6S0ursGzcPwBNCYf9KH95PRr9BMUmHFCNUAkLSh9MCW%2B5dH8BMwPJL1swjb5cxNhZyUMYIivhdc0m%2FgnVfh4GoeaOL7hz9sXdBZl38uJa077fJVKZDyBxTJ2jzpkutNrTd3Q0riMGgbCyrXzw8ghpoWFYOOAcEZaPLuH0xAS%2BIUpj7eBd&klb=2&maxads=0&kld=1042&prvtof=Sedql5Wdj9%2FbbqSjhvw%2BMAq8SPHfeD5RLiITiq4LVUI%3D&&&kt=112&&ki=10844596&ktd=0&kld=1042&kp=1" target="_top" onmouseover="changeStatus('find a tutor');return true;" onmouseout="changeStatus('');return true;" onclick="if(typeof(showPop) != 'undefined')showPop=0;return modifyKeywordClickURL(this, 'kwclk');;" title="find a tutor" id="dk1" name="dk1" >find a tutor</a></li>
                    <li><a href="javascript:if(confirm('http://rcloud.img-css-js-cdn.com/

Это кусок вредоносного кода, который я нашёл у Вас на сайте (выкачал к себе часть страниц сайта, стал смотреть, что к чему, и так почти в каждой странице ( весь вредоносный код в данном случае занимает около 700 строк).

Добавлено через 2 минуты
У сайта не закончился срок аренды ни домена, ни хостинга. Вас разводят.

Добавлено через 1 минуту
Если дадите доступ по FTP или архив с файлами сайта, могу помочь бесплатно (если мало заражёных файлов, если много - удалю первые 30, + отчёт дам).

Добавлено через 1 минуту

Сообщение от Antoshqua

Просмотрел все js,php файлы, нигде нет этих ссылок.

Ссылки у Вас могут быть в зашифрованном виде (что-то вроде этого -

PHP
1
nDo you want to open it from the server?'))window.location='http://rcloud.img-css-js-cdn.com/Health_Insurance.cfm?fp=uAISN1aBqso3YiP6S0ursGzcPwBNCYf9KH95PRr9BMUmHFCNUAkLSh9MCW%2B5dH8BMwPJL1swjb5cxNhZyUMYIivhdc0m%2FgnVfh4GoeaOL7hz9sXdBZl38uJa077fJVKZDyBxTJ2jzpkutNrTd3Q0riMGgbCyrXzw8ghpoWFYOOAcEZaPLuH0xAS%2BIUpj7eBd&klb=2&maxads=0&kld=1042&prvtof=Sedql5Wdj9%2FbbqSjhvw%2BMAq8SPHfeD5RLiITiq4LVUI%3D&&&kt=112&&ki=13437293&ktd=0&kld=1042&kp=4'" tppabs="http://rcloud.img-css-js-cdn.com/Health_Insurance.cfm?fp=uAISN1aBqso3YiP6S0ursGzcPwBNCYf9KH95PRr9BMUmHFCNUAkLSh9MCW%2B5dH8BMwPJL1swjb5cxNhZyUMYIivhdc0m%2FgnVfh4GoeaOL7hz9sXdBZl38uJa077fJVKZDyBxTJ2jzpkutNrTd3Q0riMGgbCyrXzw8ghpoWFYOOAcEZaPLuH0xAS%2BIUpj7eBd&klb=2&maxads=0&kld=1042&prvtof=Sedql5Wdj9%2FbbqSjhvw%2BMAq8SPHfeD5RLiITiq4LVUI%3D&&&kt=112&&ki=13437293&ktd=0&kld=1042&kp=4" target="_top" onmouseover="changeStatus('Health Insurance');return true;" onmouseout="changeStatus('');return true;" onclick="if(typeof(showPop) != 'undefined')showPop=0;return modifyKeywordClickURL(this, 'kwclk');;" title="Health Insurance" id="dk4" name="dk4" >Health Insurance</a></li>

Добавлено через 3 минуты
И такой вот фигни у Вас 700 строк в начале каждой генерируемой страницы.

Добавлено через 48 секунд
Если быть совсем уж точным, то 709.

@caesarnn · 16.06.2016, 21:59

Вот ещё вредоносный код.

@caesarnn · 16.06.2016, 22:19

И таких вставок у Вас огромное количество (на 27 страницах). Все они абсолютно одинаковые.

Добавлено через 2 минуты
/wp-content/themes/bridge - эту папку я рекомендовал бы Вам проверить на вирусы (вредоносный код).

Добавлено через 3 минуты
Также обновите Вашу версию WordPress - сейчас у Вас стоит WP 4.3.4

Добавлено через 57 секунд

Сообщение от Antoshqua

Я так понимаю в каком-то js файле

Нет. Ссылки надо искать в php файлах (но и в js они тоже могут быть).

Добавлено через 2 минуты
В "лечении" сайта я бы советовал Вам обратиться к специалисту.

Добавлено через 5 минут

Сообщение от Antoshqua

у сайта закончился срок аренды домена или хостинга

Домен у Вас заканчивается в 2017-ом году...

@Antoshqua · 18.06.2016, 13:44 **[ТС]**

Даже уже не знаю что делать, все php файлы просмотрел, нигде нет этих ссылок

@caesarnn · 18.06.2016, 14:09

Давайте я Вам помогу (бесплатно)

Добавлено через 25 секунд
Дел-то на 15 минут (для меня).

Добавлено через 54 секунды
Вы таким образом сэкономите своё время.

Добавлено через 50 секунд
А ссылки Вы скорее всего и не найдёте (т.к. они в зашифрованном виде).

Добавлено через 1 минуту
Вам ведь надо, чтобы у Вас сайт заработал в кратчайшие сроки?

Добавлено через 2 минуты
Можете мне на почту redcap52@yandex.ru скинуть архив с файлами сайта, всё подчищу бесплатно, расскажу, где конкретно сидел вирус.

Добавлено через 3 минуты

Сообщение от Antoshqua

все php файлы просмотрел

Значит не все. У Вас эти ссылки в папке с темой, скорее всего.

Добавлено через 10 минут
Можете отправить FTP доступ, либо копию сайта, у Вас там 100% большое кол-во шеллов.

Новые блоги и статьи Все статьи Все блоги /
Воспроизведение звукового файла с помощью SDL3_mixer при касании экрана Android 8Observer8 26.01.2026 Содержание блога SDL3_mixer - это библиотека я для воспроизведения аудио. В отличие от инструкции по добавлению текста код по проигрыванию звука уже содержится в шаблоне примера. Нужно только. . .	Установка Android SDK, NDK, JDK, CMake и т.д. 8Observer8 25.01.2026 Содержание блога Перейдите по ссылке: https:/ / developer. android. com/ studio и в самом низу страницы кликните по архиву "commandlinetools-win-xxxxxx_latest. zip" Извлеките архив и вы увидите. . .	Вывод текста со шрифтом TTF на Android с помощью библиотеки SDL3_ttf 8Observer8 25.01.2026 Содержание блога Если у вас не установлены Android SDK, NDK, JDK, и т. д. то сделайте это по следующей инструкции: Установка Android SDK, NDK, JDK, CMake и т. д. Сборка примера Скачайте. . .	Использование SDL3-callbacks вместо функции main() на Android, Desktop и WebAssembly 8Observer8 24.01.2026 Содержание блога Если вы откроете примеры для начинающих на официальном репозитории SDL3 в папке: examples, то вы увидите, что все примеры используют следующие четыре обязательные функции, а. . .
моя боль iceja 24.01.2026 Выложила интерполяцию кубическими сплайнами www. iceja. net REST сервисы временно не работают, только через Web. Написала за 56 рабочих часов этот сайт с нуля. При помощи perplexity. ai PRO , при. . .	Модель сукцессии микоризы anaschu 24.01.2026 Решили писать научную статью с неким РОманом	http://iceja.net/ математические сервисы iceja 20.01.2026 Обновила свой сайт http:/ / iceja. net/ , приделала Fast Fourier Transform экстраполяцию сигналов. Однако предсказывает далеко не каждый сигнал (см ограничения http:/ / iceja. net/ fourier/ docs ). Также. . .	http://iceja.net/ сервер решения полиномов iceja 18.01.2026 Выкатила http:/ / iceja. net/ сервер решения полиномов (находит действительные корни полиномов методом Штурма). На сайте документация по API, но скажу прямо VPS слабенький и 200 000 полиномов. . .

@Antoshqua 0 / 0 / 0 Регистрация: 16.06.2016 Сообщений: 3

	Вход в админку WP 16.06.2016, 14:33. Показов 2501. Ответов 8 Метки нет (Все метки) Вообщем на главной странице сайта вылезла какая-то дрянь, она же и не дает зайти в админку... Переименовывал plugins & themes, результата нет. Еще при вводе логина и пароля - страница перезагружается опять на wp-login И ошибка: ERROR: Cookies are blocked due to unexpected output. сайт - tantema ru Если кто знает как убрать - помогите пожалуйста... 0

@caesarnn 57 / 57 / 18 Регистрация: 22.05.2015 Сообщений: 607
	16.06.2016, 18:07
	Ваш сайт взломан. Добавлено через 16 минут Вам необходимо просканировать Ваш сайт на вредоносный код и удалить его (более подробно ответил Вам на почту *******rf@mail.ru). Добавлено через 3 минуты* Просканировать сайт на вирусы нужно локально (выгрузить сайт к себе на компьютер, а затем проверить с помощью специальных утилит). Вы можете проверить Ваш сайт с помощью утилиты "Айболит" от компании "Ревизиум" (https://revisium.com/kb/scan_site_windows.html) или же с помощью сканера DrWeb CureIt Добавлено через 1 минуту Также можно, не выгружая сайт к себе на ПК, проверить встроенным антивирусом "Хостинг-Центра" (насколько я знаю, они тоже используют "Айболит"), а затем проверить вручную файлы из списка и удалить вредоносный код. Добавлено через 43 минуты У Вас там написано, что домен tantema.ru истекает 13.06.2016 и ещё надпись "Click here to renew it" (Нажмите, чтобы оплатить его (дословно:обновить), ссылка ведёт на мошеннический сайт. Добавлено через 1 минуту ( У Вас домен истекает гораздо позднее). 0

@Antoshqua 0 / 0 / 0 Регистрация: 16.06.2016 Сообщений: 3
	16.06.2016, 21:09 [ТС]
	Я так понимаю в каком-то js файле идут ссылки на картинки, которые были на определенном сайте, а у сайта закончился срок аренды домена или хостинга и в итоге получилось ЭТО... Или я не так понимаю? Просмотрел все js,php файлы, нигде нет этих ссылок. Что за магия 0

@caesarnn 57 / 57 / 18 Регистрация: 22.05.2015 Сообщений: 607
	16.06.2016, 21:59
	Вот ещё вредоносный код. Миниатюры 1

@Antoshqua 0 / 0 / 0 Регистрация: 16.06.2016 Сообщений: 3
	18.06.2016, 13:44 [ТС]
	Даже уже не знаю что делать, все php файлы просмотрел, нигде нет этих ссылок 0

Вход в админку WP

Решение