Anatomia unui redirect ascuns injectat printr-un plugin de formulare

Am analizat un site care redirecționa vizitatorii spre pagini de pariuri — dar doar pe cei care veneau din Google, pe mobil. Accesul direct arăta normal, așa că proprietarul nu observase nimic luni de zile.

Unde stătea codul

Redirect-ul nu era în tema activă, ci într-un mu-plugin fals (wp-content/mu-plugins/), un folder care se încarcă automat și nu apare în lista obișnuită de plugin-uri. Codul verifica HTTP_REFERER și User-Agent înainte să declanșeze redirect-ul — clasic cloaking.

Cum l-am prins

• am comparat conținutul servit cu curl -A "Googlebot" vs. un user-agent normal;
• am căutat în tot contul: grep -rl "header(\"Location" wp-content/;
• am găsit al doilea strat în .htaccess, activat condiționat.

Ce am făcut

Curățat .htaccess, șters mu-pluginul, identificat pluginul vulnerabil folosit ca punct de intrare și înlocuit, apoi hardening general.

Concluzie: dacă redirect-ul apare doar din Google, verifică întâi mu-plugins/ și .htaccess — acolo se ascund cel mai des.