谷歌封锁了我的网站：所有*.js文件都被感染了。如何找到感染JavaScript代码的进程？

Question

我有一个在线商店网站。

几天前，我的杀毒软件开始发出警告，说一些*.js文件被感染了。

我查看了这些感染文件，并发现以下代码附加在末尾（仅显示部分内容）：

/*! jQuery v1.11.3 | (c) 2005, 2015 jQuery Foundation, Inc. | jquery.org/license */
!function(a,b){"object"==typeof module&&"object"==typeof module.exports? ...
...
/*95d84650ccbbad8b650fac933d031bf0*/
var _0xf19b=["\x6F\x6E\x6C\x6F\x61\x64","\x67\x65\x74\x44\x61\x74\x65", ... // and so on
/*95d84650ccbbad8b650fac933d031bf0*/

我通过杀毒软件检查了我的系统，没有发现任何问题。

clamscan -r --move=/home/USER/VIRUS /

我更新了我的WordPress并手动删除了附加在*.js文件末尾的代码。

过了一段时间，这段代码又出现了。

我尝试删除它，修改它或将其注释掉。我试图使用grep找到恶意代码，但没有找到任何东西......

什么也没用。时间过去了，现在我所有的*.js文件都被“感染”了。结果我的网站现在被阻止了......

我该如何找到附加此代码的进程？

...
/*95d84650ccbbad8b650fac933d031bf0*/
var _0xf19b=["\x6F\x6E\x6C\x6F\x61\x64","\x67\x65\x74\x44\x61\x74\x65", ... // and so on
/*95d84650ccbbad8b650fac933d031bf0*/

在每个 *js 文件的结尾？

- user1134181

---

你说这是一个WordPress网站，也许是你安装的插件？ - Carlos2W

很抱歉，但如果这些插件中有病毒，删除主题是无法改变任何事情的，因为它们已经放置了隐藏的感染文件。最好的解决方案是取消对你不知道是否创建的任何文件的权限。 - Carlos2W

由于您无法确定哪个PHP文件被感染并导致JS代码发生更改，因此需要使用最新的WordPress安装程序进行清洁设置。 - t.niese

@t.niese 那可能会很漫长和痛苦，但这可能是唯一可行的解决方案。这是最后的手段 :) +1 - Carlos2W

@Carlos2W 当然，这很长而且很痛苦。但最有可能的是，某人利用WordPress中的漏洞感染了安装程序，而更改的js只可能是其中一个效果，此外，该脚本可能通过打开后门到服务器上来使用它，例如发送垃圾邮件或作为非法下载的主机。因此，必须进行清洁设置，或者至少对所有php/可执行文件进行差分检查。 - t.niese

在拍摄镜像后，使用干净备份之一来查找您是如何被入侵的。 - Ed Heal

Answer 1

使用以下bash命令搜索感染的文件：

grep -r ";document\[_" /path/to/www/folder/

如果你只想列出文件名，那么加上-l参数。

grep -rl ";document\[_" /path/to/www/folder/

使用以下命令将所有文件夹权限更改为755：

find /path/to/www/folder/* -type d ! -perm 0755 -print0 | xargs -0 chmod 0755

注意：如果没有权限，该命令将更改目录权限为755。

- Harikrishna

Answer 2

不检查服务器，很难找出问题所在。

尝试更改文件权限怎么样？你能移除写入权限吗？

- S V

---

只需尝试查看哪个PHP文件您不"信任"。我们无法为您说出，因为我们无法访问您的服务器。 - Carlos2W

Answer 3

这个问题的正确和永久解决方案是 -----

.js文件在几分钟或特定时间后再次被感染，是因为黑客已经在您的服务器上配置了一个cron-job来执行此操作。 首先通过访问服务器的cron job功能来删除该cron job。 之后无需更改权限或移动到每个单独的文件，只需安装一个名为Wordfence的插件，使用它扫描您的网站（也启用插件扫描），它将显示原始文件与当前文件之间的所有更改，然后选择所有可修复的文件并将它们恢复到原始状态。

这次感染不会再次发生。为确保安全，请使用Wordfence再次扫描网站，结果将是积极的。

谢谢。

- user5989798

Answer 4

我为那个感染了我的服务器这里创建了一个移除脚本。

- frazras