WordPress被插入wp_cfg_popuplink恶意代码的分析与解决方案




今天@Lyphix告诉我在打开我的博客首页时,有一定几率会跳转到http://tiny.cc/roiplg这个网页。

排查

经过几次试验之后,我也遇到几次跳转到上述网页的情况,但是并不能稳定复现。查看首页的源代码,我发现了如下的代码:


这段代码在网页中插入了一段JavaScript,控制网页跳转。

分析

我首先考虑到劫持的可能性。但是我的博客开启了全站https,并且在挂上全局代理之后情况依旧。因此劫持的可能性被排除。

其次的可能性是某个插件存在漏洞而被在数据库插入了恶意代码。比如我使用了的Insert Header and Footer插件。我将WordPress数据库转储为SQL文件,但是并没有在其中搜索到相关关键字。

那么这段恶意代码只可能来自于php代码中。我全局搜索了博客根目录,发现相关的代码位于wp-contents/plugins/index/



经检查git提交历史得知,这段代码是在18天前,也就是7月6日之前出现的。

解决方案

解决方法很简单,把整个index目录直接移除即可。

原因

因为时间过于久远,当时的nginx日志已被覆盖。所以这段代码究竟从何而来我们不得而知。唯一能够做的事情是及时更新WordPress,并尽量避免使用插件。




Posted

in

by

Comments

发表回复/Leave a Reply

您的电子邮箱地址不会被公开。/Your email address will not be published. Required fields are marked *

This site uses Akismet to reduce spam. Learn how your comment data is processed.