php - 如何跟踪从呈现的 HTML 加载特定行的文件

Question

我在 Wordpress 中建立了一个网站，最近我们发现它被几个恶意脚本感染，这些恶意脚本使用常见的 base64 和 eval 函数插入脚本，如下所示:

我们能够解决大部分受感染的文件，但仍有一些脚本被注入(inject)到 index.html 中，例如:

所有这些标记为红色的脚本都会向立即触发我的计算机杀毒软件的站点发出请求。

所以这里的问题是，我如何跟踪哪个文件加载了这些行？我怎么知道哪个文件打印了它们？我不能只搜索字符串，因为代码像第一张图片一样加密...

Answer 1

事实是，它可能不止一个文件，和/或它会隐藏在插件/上传文件夹深处。

这会有点耗时，但这些通常是我在修复被黑站点以缩小范围并确保清除所有垃圾时遵循的步骤:

1) 在你做任何事情之前，确保你有文件和数据库的备份。这样，如果您不小心删除了某些内容，可以轻松恢复。

2) 删除任何未使用的主题或插件，并确保所有现有插件都是最新的。

3) 将 WordPress 更新到当前版本。严重地。保持最新很重要。如果您落后两个以上的主要版本，您将需要逐步更新。 ( https://codex.wordpress.org/Upgrading_WordPress_-_Extended_Instructions )

4) 更新后，通过 FTP 连接并查找比更新时更旧的文件。寻找不应该存在的额外文件——这可能很棘手，因为被黑文件通常被命名为 wp-shortcode-s.php 之类的东西。我通常在我的 FTP 客户端旁边的窗口中打开一个 WP 核心文件的副本作为引用。

5) 检查插件文件夹中 php 和 js 文件的前几行代码是否存在恶意代码。同样，您可能希望有一个新下载的插件副本来比较文件。

6) 检查上传文件夹和子文件夹是否有恶意文件。

我也一直在这里检查我被黑的网站，看看我的表现如何:

http://isithacked.com/

完成后，您可能想继续阅读有关如何强化 WP 以使其更难破解的信息。