恶意软件或必要文件？ eval（GoDaddy / Installatron Wordpress网站上的base64_decode

Question

大家！

我应该删除此文件或任何相关文件吗？

文件名：deleteme.4a768ebd031b45c884f93d1314642dbb.php

档案位置：public_html / domain-name.com / wp-content

文件内容：（用作占位符的“ CODED CONTENT”，下面解码）

   <?php
/******************************************************************************\
|*                                                                            *|
|* All text, code and logic contained herein is copyright by Installatron LLC *|
|* and is a part of 'the Installatron program' as defined in the Installatron *|
|* license: http://installatron.com/plugin/eula                               *|
|*                                                                            *|
|* THE COPYING OR REPRODUCTION OF ANY TEXT, PROGRAM CODE OR LOGIC CONTAINED   *|
|* HEREIN IS EXPRESSLY PROHIBITED. VIOLATORS WILL BE PROSECUTED TO THE FULL   *|
|* EXTENT OF THE LAW.                                                         *|
|*                                                                            *|
|* If this license is not clear to you, DO NOT CONTINUE;                      *|
|* instead, contact Installatron LLC at: support@installatron.com             *|
|*                                                                            *|
\******************************************************************************/
eval(base64_decode('CODED CONTENT'));

解码内容：

$file =( $p = strpos(__FILE__,"(") )=== false ? __FILE__ : substr(__FILE__,0,$p);if (!unlink($file)){   chmod($file,0777);  unlink($file);}define("ABSPATH", dirname(dirname($file))."/");include_once(ABSPATH."wp-config.php");include_once(ABSPATH."wp-admin/includes/file.php");include_once(ABSPATH."wp-admin/includes/plugin.php");include_once(ABSPATH."wp-admin/includes/theme.php");include_once(ABSPATH."wp-admin/includes/misc.php");$k = substr($_SERVER["QUERY_STRING"],0,32);$u = substr($_SERVER["QUERY_STRING"],32);$h = $wpdb->get_var( $wpdb->prepare( "SELECT user_pass FROM {$wpdb->users} WHERE ID = %s", $u ) );if ( is_string($h) &&( $k === md5(mktime(date("H"), date("i"), 0).md5($h))                    || $k === md5(mktime(date("H"), date("i")-1, 0).md5($h))                    || $k === md5(mktime(date("H"), date("i")+1, 0).md5($h)) )){ wp_set_auth_cookie($u);}header("Location: ".'http://www.domain-name.com/wp-admin/');

背景：最近我在GoDaddy上重置了CPanel，因为来自Fiverr的程序员告诉我，我的网站都受到了GoDaddy端提供的恶意软件的感染。 每次删除恶意软件时，它都会返回。 我的RAM和I / O使用超载，所有站点均无法正常运行。 GoDaddy告诉我这是一个错误的陈述，他们的“防火墙”可以阻止这种情况。 我重置了CPanel，安装了新的Wordpress网站，并且一切正常，但是我在文件中找到了。 我犹豫要继续一个新的站点构建，而不是理解这一点。

使用WordFence不会触发警告。

请问一些建议吗？ 谢谢！

Answer 1

看起来像恶意软件。

您可以使用Sucuri-> https://sitecheck.sucuri.net/在线扫描您的网站。 只需在此处输入您的网站URL，然后查看其报告。

另一种方法是将文件本地保存在计算机上，并使用某些防病毒/恶意软件工具扫描该文件。

由于您正在运行wordpress，因此请安装以下插件： Anti-Malware Security和Brute-Force Firewall 。 激活它，转到设置，使用您的电子邮件地址注册API密钥，更新定义并开始全面扫描。 它将扫描您所有站点文件夹/文件中是否存在恶意软件，并提供报告。

请记住，它可能会向您显示某些文件已被感染，实际上它们可能是合法的。 因此，我建议您手动检查每个报告的文件。

我使用这个插件已经很长时间了，它非常擅长识别恶意软件/可疑文件。 所以试试吧。

Answer 2

这个问题有点老了，但是如果有人仍然对此感到好奇，让我阐明一下：

• 它不是恶意软件。
• 它是Installatron软件自动登录系统（在GoDaddy中使用，但在其他一些托管服务提供商中使用）的遗留物。
• 例如，发生这种情况是因为在自动登录过程中为此文件使用了该文件，但是如果该过程被中断或阻止，则该文件将保留。
• 您可以安全地删除它。
• 由于编码风格的原因，它通常会在扫描仪中引发误报检测。

希望能帮助到你！

Answer 3

这看起来非常可疑。 显然，这是将恶意软件嵌入php站点的一种非常流行的方法。 https://aw-snap.info/articles/php-examples.php 。

没有一个合理的程序员会将这样的代码嵌入到页面中。 看起来它也尝试删除自己，这很奇怪。 它还从数据库中选择密码，这很奇怪。 我将其称为100％恶意软件。