Сканирование wp-content на вредоносный код

Unter „Malware-Scan“ läuft eine Muster-Suche über das Verzeichnis wp-content. Sie liest PHP-Dateien und meldet Stellen, die für Webshells oder verschleierten Code typisch sind. Die Oberfläche kennzeichnet jeden Treffer ausdrücklich als verdächtig, nicht als bestätigt.

Scan starten und Befunde ansehen

1. Der Punkt „Malware-Scan“ liegt in „Kakapo Security“ links in der Gruppe „Scanner“.
2. Klicke in der Karte „Verdachts-Scan“ auf „Scan starten“.
3. Die Meldung am Ende nennt die Zahl der gescannten Dateien, die Zahl der Fundstellen und die Dauer in Sekunden.
4. Sieh dir in der Karte „Fundstellen“ die Spalten Datei, Zeile, Muster und Auszug an.
5. Öffne jede gemeldete Datei selbst und beurteile die Stelle, bevor du etwas löschst oder änderst.

Wonach gesucht wird

• eval in Verbindung mit base64_decode, gzinflate, gzuncompress, str_rot13 oder rawurldecode
• assert, Systemaufrufe wie shell_exec oder passthru und call_user_func direkt mit Daten aus $_POST, $_GET oder $_REQUEST
• preg_replace mit dem e-Modifikator sowie create_function zusammen mit base64_decode
• eval oder assert, angewandt auf einen langen Base64-Text
• bekannte Shell-Kennungen wie c99shell, r57shell oder b374k
• mehr als 60 Hex-Sequenzen der Form \xNN in einer Datei als Hinweis auf Verschleierung
• PHP-Dateien im Uploads-Ordner — sie werden unabhängig von ihrem Inhalt gemeldet

Legitimer Code kann denselben Mustern ähneln, deshalb der Hinweis in der Oberfläche, jeden Treffer manuell zu prüfen. Der Scan liest die Dateien nur; er ändert, verschiebt oder löscht nichts. Er startet ausschließlich auf Knopfdruck — automatisch läuft täglich allein die Kern-Prüfung.