Què importa primer: Les opcions descarregades automàticament estan disponibles en gairebé totes les sol· licituds, el que les fa atractives per a la persistència. L’opció pot contenir codi directament, un URL remot o ajustaments usats per un plugin compromès.
Què indica realment aquest símptoma
Els valors grans o sospitosos són pistes, però legítims plugins també emmagatzemen dades seriades i codificades. Traceix a on es llegeix l’opció i com afecta a la sortida.
Recull proves abans de canviar res
- Exporta els noms d’opcions sospitosos, mides, banderes d’autocàrrega i valors de manera segura.
- Cerca a la base de codis les lectures del nom exacte de l’opció.
- Compara el temps de creació o modificació amb l’incident.
- Inspecciona els transitoris, les opcions de lloc i les taules multisiti quan siguin rellevants.
Causes més habituals
- Opció d’script injectat: Malicious JavaScript o PHP-com a càrrega útil es representa pel codi compromès.
- Configuració remota d’ordres: Una opció emmagatzema un punt final o token de l’atacant.
- Arranjaments modificats de l’plugin: Es canvia una opció legítima per a carregar contingut no fiable.
- Persistència en sèrie: Les dades niats oculten valors maliciosos de cerques simples de text.
Seqüència segura de diagnòstic i reparació
- Creeu una còpia de seguretat de la base de dades i conserveu la fila original de l’opció.
- Elimina o esmena el codi maliciós consumidor abans d’eliminar el valor.
- Usa eines amb WordPress per actualitzar les dades seriades de forma segura.
- Flush cau d’objectes i comprova que l’opció no torna de cron o sensecronització remota.
Com distingir entre les causes probables
No tractis Opció d’script injectat i Configuració remota d’ordres com a causes equivalents. Malicious JavaScript o PHP- com a càrrega útil es representa pel codi compromès. En canvi, una opció emmagatzema un punt final o token de l’atacant. Per distingir- les, usa aquestes dues comprovacions: Exporta noms d’opcions sospitosos, mides, banderes d’autocàrrega i valors de forma segura; i busqueu en la base de codis les lectures del nom exacte de l’opció. Amb aquestes dades podreu decidir si convé aplicar la primera acció controlada — creeu una còpia de seguretat de la base de dades i conserveu la fila original de l’opció — o si heu de conservar l’estat actual i ampliar la investigació.
En una web compromesa, contenir i netejar són decisions diferents. Conserva el fitxer sospitós i els registres d’accés abans d’eliminar la persistència, i gira les credencials només després de tancar la via activa. Documenta la data i hora exactes, la URL o transacció afectada, l’últim estat correcte conegut i cada canvi realitzat durant el diagnòstic. Aquest registre permet distingir una reparació reproduïble d’una desaparició temporal del símptoma.
Què no has de fer
No executeu amplis substitueixments SQL contra opcions seriades sense una còpia de seguretat provada. Les metadades de longitud poden trencar i danyar la configuració legítima.
Com verificar la reparació
- L’opció maliciosa i el seu escriptor són eliminats.
- Les pàgines renderitzades, els feeds i les respostes REST romanen netes després de la baixada de la memòria cau.
- No reapareix cap valor autocargat sospitós.
Que el símptoma visible desaparegui no és suficient. Tanca la incidència només quan l’acció original que fallava, el recorregut de negoci relacionat i els registres rellevants confirmin que el problema ha desaparegut.
CRITERI D’INCIDENT WP REPAIR
Com acotar l’error sense endevinar
Els valors grans o sospitosos són pistes, però legítims plugins també emmagatzemen dades seriades i codificades. Traceix a on es llegeix l’opció i com afecta a la sortida.
Exporta els noms d’opcions sospitosos, mides, banderes d’autocàrrega i valors de manera segura.
Cerca a la base de codis les lectures del nom exacte de l’opció.
Compara el temps de creació o modificació amb l’incident.
Inspecciona els transitoris, les opcions de lloc i les taules multisiti quan siguin rellevants.
Què ha de quedar verificat
- L'opció maliciosa i el seu escriptor són eliminats.
- Les pàgines renderitzades, els feeds i les respostes REST romanen netes després de la baixada de la memòria cau.
- No reapareix cap valor autocargat sospitós.
Fonts tècniques oficials
Aquesta guia explica el diagnòstic. Si la web està afectada ara mateix, la intervenció ha de preservar una via de recuperació i verificar el recorregut real del negoci.
Veure el servei de reparació urgent →SOBRE ESTE SÍNTOMA
Preguntes freqüents d'aquesta guia.
¿Un valor gran o estranyament codificat en wp_options significa sempre malware?+
No. Legítima plugins emmagatzema rutinàriament grans dades seriades o codificades en opcions, de manera que la mida i la codificació per si soles no són prova de compromís. Cal rastrejar on es llegeix l’opció específica en codi i com afecta la sortida del lloc abans de concloure que és maliciosa.
Puc trobar i substituir el mal valor directament a la base de dades?+
Executa amplis reemplaçaments SQL contra dades PHP serialitzades sense una còpia de seguretat provada és una forma comuna de trencar l’opció, atès que les cadenes seriades porten metadades de longitud que una edició a nivell de text pot malmetre. Useu eines amb WordPress que entenguin la serialització, i mantingui sempre una còpia de seguretat de la base de dades i la fila original abans de canviar qualsevol cosa.
Per què l'opció maliciosa continua tornant després que la borro?+
Si el codi que escriu l’opció continua actiu, l’eliminació de la fila només elimina la còpia actual mentre que cron treballs, sincronització remota o la plugin compromesa recrea en la següent execució. Elimina o esmena el consum de codi maliciós primer, a continuació, elimina el valor i confirma que no torna després d’una descàrrega de memòria cau.
On més a part de wp_options he de comprovar per al mateix tipus de càrrega útil?+
Transitoris, opcions de lloc i, en instal·lacions multisiti, les taules d’opcions a nivell de xarxa poden contenir el mateix tipus de càrrega útil autocargada. Aquests s'han d’inspeccionar juntament amb wp_options ja que comparteixen la mateixa superfície d’atac del codi que s'executa en gairebé totes les sol·licituds.