SQL Injection in Wordpress 2.8.6?

Hallo Wordpress Gemeinde,

vor kurzem wurde ein Blog, den ich noch unter 2.3.3 betrieben habe gehackt.
Da ich tägliche Backups mache, konnte ich ein Backup der Datenbank einspielen und die Verschandelung war weg.

Als das dann wieder aufgetreten ist, habe ich ein Update auf V. 2.8.6 durchgeführt:.
Dateien löschen (außer wp-config.php, .htaccess und Verzeichnis: wp-content),
Datenbank alle Tabellen löschen,
Dump der sauberen Datenbank einspielen,
Neue Wordpress Dateien einspielen

lief soweit alles prima bis ich heute gesehen habe, dass der Mist wieder drin ist:
Seht selber: http://www.stein-des-anstosses.de/
Die komischen Links oben links in der Ecke.

Ich bitte dringend um Hilfe

viele Grüße
Frank Hofmann

 

Noch eine Ergänzug

Ich habe mir eben einen SQL Dump gezogen und durchsucht, ob ich irgendwo die Texte finde, die da nicht hingehören - hab ich nicht gefunden.

Aber ich habe ein Javascript gefunden:
<script src="http://eu-pn4.adserver.yahoo.com/a?f=2023893427&amp;pn=sz&amp;p=sz-kultur&amp;c=r&amp;l=CAD&amp;pd_id=ac141585sxhJdJ7ulwlXDgrqSx.S"

kennt das jemand? Das kann doch nicht wirklich von yahoo kommen

Gruß
Frank

 

Sorry, es ist nicht die Datenbank

Danke für die schnelle Antwort. Ich bin mir sicher, dass ich eine saubere Installation herstellen kann. Beim rumprobieren habe ich jetzt festgestellt, dass das Ding irgendwo im Dateisystem liegen muss.
Ich lade gerade alles runter und werde dann mal eine Textsuche durch die Files starten. Dann schaue ich mir mal die Berechtigungen an.

Hat vielleicht jemand Tipps was die Rechte im Filesystem angeht? Ich habe die Dateien einfach lokal entpackt und dann hochgeladen.

Gruß
Frank

 

Code wurde in Datei eingeschleust

Ich habe jetzt die Datei gefunden, wo der Schadcode enthalten ist.

Was mich wirklich irritiert, ist die Tatsache, dass die Datei die Berechtigung 604 hat.

Gehe ich richtig in der Annahme, dass jemand schon mindestens als FTP-User auf dem Server unterwegs sein muss, um die Datei zu ändern?

Haltet Ihr den ganzen Server für gehackt?

Gruß
Frank