Què importa primer: Una entrada sospitosa de cron pot trucar a un ganxo desconegut, executar sovint o ser registrat per codi que ja no és visible en la llista plugin. El programa en si és evidència de persistència.
Què indica realment aquest símptoma
Elimina l’esdeveniment podeu aturar un cicle, però el carregador que el torni a registrar pot recrear la tasca en la següent petició.
Recull proves abans de canviar res
- Exporta tots els esdeveniments amb ganxos, recurrència, execució i arguments següents.
- Carrega cada ganxo desconegut a la trucada de retorn PHP que el registra o maneja.
- Compara els temps de creació i execució d’esdeveniments amb canvis de fitxer o reinfecció.
- Inspecciona m- plugins, plugins actiu, temes i opcions de base de dades per al codi de registre.
Causes més habituals
- Persistència mitjançant porta posterior: Un carregador ocult programa baixades remotes o escriu fitxers.
- Plugin compromesa: S’ ha modificat el codi legítim per registrar la tasca.
- Residu només de base de dades: l’esdeveniment roman després que s’ hagi eliminat el codi original.
- Abús d’alta freqüència: Una tasca s’ executa cada minut per a preservar l’accés o enviar spam.
Seqüència segura de diagnòstic i reparació
- Preserva la llista d’esdeveniments i el codi pertinent abans de la modificació.
- Elimina el codi de registre i la càrrega útil, a continuació, elimina l’esdeveniment orfe.
- Executeu els esdeveniments deguts en un entorn controlat per identificar els efectes secundaris quan sigui segur.
- Fes un seguiment de la matriu cron a través de diversos cicles normals per a recreació.
Com distingir entre les causes probables
No tractis Persistència mitjançant porta posterior i plugin compromesa com a causes equivalents. Un carregador ocult programa baixades remotes o escriu fitxers. En canvi, es va modificar el codi legítim per a registrar la tasca. Per a distingir- les, usa aquestes dues comprovacions: Exporta tots els esdeveniments amb ganxos, recurrència, següent execució i arguments; i carrega cada ganxo desconegut a la crida de retorn PHP que ho registra o maneja. Amb aquestes dades podràs decidir si convé aplicar la primera acció controlada — Preservar la llista d’esdeveniments i el codi pertinent abans de la modificació — o si has de conservar l’estat actual i ampliar la recerca.
En una web compromesa, contenir i netejar són decisions diferents. Conserva el fitxer sospitós i els registres d’accés abans d’eliminar la persistència, i gira les credencials només després de tancar la via activa. Documenta la data i hora exactes, la URL o transacció afectada, l’últim estat correcte conegut i cada canvi realitzat durant el diagnòstic. Aquest registre permet distingir una reparació reproduïble d’una desaparició temporal del símptoma.
Què no has de fer
No executeu ganxos cron desconeguts en la producció simplement per a veure el que succeeix. Podeu enviar correu electrònic, reescriure fitxers o contactar amb la infraestructura de l’atacant.
Com verificar la reparació
- S’eliminen els ganxos sospitosos i el codi de registre.
- Cap fitxer, usuari o opció es recrea després dels cicles cron.
- Els treballs programats legítims continuen funcionant una vegada.
Que el símptoma visible desaparegui no és suficient. Tanca la incidència només quan l’acció original que fallava, el recorregut de negoci relacionat i els registres rellevants confirmin que el problema ha desaparegut.
CRITERI D’INCIDENT WP REPAIR
Seqüència d’intervenció segura
Elimina l’esdeveniment podeu aturar un cicle, però el carregador que el torni a registrar pot recrear la tasca en la següent petició.
- Exporta tots els esdeveniments amb ganxos, recurrència, execució i arguments següents.
- Carrega cada ganxo desconegut a la trucada de retorn PHP que el registra o maneja.
- Compara els temps de creació i execució d’esdeveniments amb canvis de fitxer o reinfecció.
- Inspecciona m- plugins, plugins actiu, temes i opcions de base de dades per al codi de registre.
Què ha de quedar verificat
- S'eliminen els ganxos sospitosos i el codi de registre.
- Cap fitxer, usuari o opció es recrea després dels cicles cron.
- Els treballs programats legítims continuen funcionant una vegada.
Fonts tècniques oficials
Aquesta guia explica el diagnòstic. Si la web està afectada ara mateix, la intervenció ha de preservar una via de recuperació i verificar el recorregut real del negoci.
Veure el servei de reparació urgent →SOBRE ESTE SÍNTOMA
Preguntes freqüents d'aquesta guia.
Si borro la sospitosa tasca programada, és suficient per aturar-la?+
No necessàriament. Eliminar l’esdeveniment pot aturar un cicle d’execució, però si un carregador ocult encara està present i registir la tasca, pot simplement recrear la mateixa o una entrada similar cron en la següent sol·licitud.
És segur activar manualment un ganxo cron desconegut per veure el que fa?+
No. Els ganxos desconeguts no s'han d’executar en la producció només per observar el comportament, ja que poden enviar correu, reescriure fitxers o contactar amb infraestructura controlada per atacants en el moment en què s'executen.
Pot romandre una entrada cron maliciosa fins i tot després que s’hagi eliminat la plugin que la va crear?+
Sí. Això s'anomena residu de només base de dades: l’esdeveniment programat pot persistir en la matriu cron fins i tot després que s'hagi eliminat el codi de registre original, raó per la qual l’array cron en si mateix necessita ser comprovat, no només la llista de plugins actiu.
Què significa si una tasca cron està configurada per executar-se cada minut o amb freqüència inusual?+
Una freqüència d’execució molt alta és un patró comú per a les tasques utilitzades per a preservar l’accés no autoritzat o enviar spam contínuament, ja que l’execució freqüent manté actualitzat el punt de suport de l’atacant. Comparar els valors de recurrència i de propera execució en tots els esdeveniments ajuda a descobrir aquest tipus d’abús ràpidament.