WordPress 恶意软件 / top:0;左：-9999px URL

Question

我已经为此伤透了两天的心，希望能得到一些额外的想法。

这些链接仅在 wp-content/cache/wp-rocket .html 文件中找到，而它们并不存在于实际的实时页面上。

我尝试在所有文件中搜索各种字符串：-9999、thewpclub、sorry_function。我查遍了数据库，但根本找不到任何东西。

WordFence 和 Sucuri 在文件中没有发现任何奇怪的脚本。

这是有人遇到的最接近的问题：

恶意文本出现在所有页面和帖子中。我该如何摆脱它？

<a href="https://www.thewpclub.net">Premium WordPress Themes Download</a></div><div style="position:absolute; top:0; left:-9999px;"><a href="https://www.themeslide.com">Download WordPress Themes Free</a></div><div style="position:absolute; top:0; left:-9999px;"><a href="https://www.script-stack.com">Download WordPress Themes</a></div><div style="position:absolute; top:0; left:-9999px;"><a href="https://www.thememazing.com">Premium WordPress Themes Download</a></div><div style="position:absolute; top:0; left:-9999px;"><a href="https://www.onlinefreecourse.net">free download udemy paid course</a></div><div style="position:absolute; top:0; left:-9999px;"><a href="https://www.frendx.com/firmware/">download xiomi firmware</a></div><div style="position:absolute; top:0; left:-9999px;"><a href="https://www.themebanks.com">Download WordPress Themes Free</a></div><div style="position:absolute; top:0; left:-9999px;"><a href="https://downloadtutorials.net">udemy free download</a></div></div></div></div>

Answer 1

好吧，我已经解决了。

我知道恶意软件并不是“一刀切”。我要求额外的想法，因为有人可能会提示如何处理它，因为多年来我消息灵通并且有能力处理这些情况。

在多次尝试搜索各种字符串失败后，尝试以十六进制编码几个单词并搜索这些单词，通过插件搜索等。我检查了缓存的

.html

文件，并注意到这些链接隐藏在 WooCommerce

delivery-info

div 下。

然后我在所有 WP 文件中搜索了传递信息字符串，得到了大约 50 个命中。我发现其中一位开发人员添加了一条可疑的行，该行正在调用

delivery-info

div 和

$content

字符串。

然后我在所有插件中搜索了

$content

字符串，并获得了大量点击。经过一段时间的搜索，我终于找到了导致它的脚本。它隐藏在本不应该存在的 WPBakery - js-composer/include/inc.php 文件中。文件中的其中一行：

$abc1 = '' . $divclass . '<a href="'.sanitize_context_zero("aHR0cHM6Ly93d3cudGhld3BjbHViLm5ldA==").'">' . $array[array_rand($array) ] . '</a></div>';

我删除了该文件，然后在

inc.php

中搜索

js-composer.php

并调用它。

Answer 2

我按照 Dorian 所做的步骤遇到了同样的问题，并成功从页面中删除了代码。

我的例子中的代码位于inc.php中，并由functions.php调用。

对于面临同样问题的任何人，这些是我查找代码所采取的步骤。

我在 wp-content 文件中搜索了“sanitize_context_zero”，并找到了 /themes/Newspaper/inlcudes/inc.php。 之后我搜索了 inc.php 并找到了functions.php。

所有修改的文件都在父主题而不是子主题中。