最近在幾個網站上向我報告了一件奇怪的事情 WordPress.
問題數據php.php_.php7_.gif
一個神秘的外觀 .gif圖像，粉紅色的背景上帶有黑色的“ X”。 在所有情況下，文件都被命名為“php.php_.php7_.gif”，到處都有相同的屬性。 有趣的是該文件尚未由特定用戶/作者上載。 ”上傳者:(無作者）“。
文件名： php.php_.php7_.gif
文件類型： 圖像/ GIF
上傳時間： 2019 年 7 月 11 日
文件大小：
外形尺寸： 300由300像素組成
標題：php.php_.php7_
上傳者:(沒有作者）
By default，這個.GIF文件看起來像 包含一個腳本，在服務器上加載 當前上傳文件夾 從年代史。 在給定的情況下： /根/可濕性粉劑內容/上傳/ 2019 / 07 /.
另一個有趣的事情是，文件的基本php.php_.php7_.gif，誰被放到服務器上無法打開照片編輯器。 預覽，Photoshop或任何其他。 取而代之的是， 縮略圖（圖標）自動製作 WordPress 在多種尺寸上，.gif 都非常實用並且可以打開。 粉紅色背景上的黑色“X”。
什麼是“ php.php_.php7_.gif”，我們如何擺脫這些可疑文件？
最有可能刪除這些文件 惡意軟件 / 病毒，如果我們僅限於此，這不是解決方案。 當然 php.php_.php7_.gif 不是一個合法的文件 WordPress 或由插件創建。
在Web服務器上，如果有的話，可以很容易地識別它 Linux 惡意軟件檢測 已安裝。 “的防病毒/反惡意軟件過程maldet“立即將其檢測為以下類型的病毒：”{} YARA php_in_image“
FILE HIT LIST:
{YARA}php_in_image : /web/blog/public_html/wp-content/uploads/2019/07/php.php_.php7_.gif
強烈建議有一個 Web服務器上的防病毒軟件並將其更新到目前為止。 此外，防病毒設置為永久監視對Web文件的更改。
版本 WordPress 和所有 模塊（插件）也會更新. 據我所見，所有網站 WordPress 感染 php.php_.php7_.gif 有一個共同的要素是“WP評論”。 最近在其變更日誌中收到更新的插件，我們發現： 修復了漏洞問題.
對於受此惡意軟件影響的網站之一， error.log找到以下行：
2019/07/11 13:08:10 [error] 25084#25084: *44118905 FastCGI sent in stderr: "PHP message: PHP Warning: array_filter() expects parameter 1 to be array, null given in /home/www/website.tld/public/wp-content/plugins/wp-review/includes/ajax.php on line 36" while reading response header from upstream, client: IP.IP.IP.IP, server: website.tld, request: "GET /wp-admin/admin-ajax.php?action=wpr-upload-comment-image HTTP/1.1", upstream: "fastcgi://127.0.0.1:9000", host: "website.tld", referrer: "website.tld"
這讓我覺得通過這個插件上傳了虛假圖像。 該錯誤首先來自fastcgi PORT錯誤。
值得一提的是，這種病毒 / WordPress 惡意軟件不太關注服務器上的 PHP 版本。 我發現兩者 PHP 5.6.40的 和 PHP 7.1.30的.
隨著我們更多地了解惡意數據目前將更新本文php.php_.php7_.gif 媒體 → 電子圖書館.
