Php 黑客网站中隐藏的重定向？

我们的一个运行在Apache服务器上的Wordpress网站最近被PHP注入攻击

黑客们安装了数百个URL，这些URL被重定向到一个销售手表的外部电子商务；URL的格式为

http://www.example.com/eta.php?some_file.html

；例如：

http://www.example.com/eta.php?Jewellery-watchs-Others-c138-4.html

我们认为我们已经删除了所有受感染的PHP代码。然而，被黑客攻击的URL现在不是返回404，而是执行301重定向到

http://www.example.com/?some_file.html

（也就是说，相同的URL没有

eta.php

部分），最后显示网站主页，返回代码200。请注意，我的

.htaccess

文件看起来非常干净

这个幻影重定向来自哪里？

我将非常感谢任何能帮助我了解情况的人。我担心我们没有完全消灭黑客

谢谢你的关注

更多详细信息

服务器上找不到文件

eta.php

。在被黑客攻击的URL中，用随机文件（例如，

ate.php

）替换

eta.php

）会产生预期的404代码

最后，我使用以下.htaccess规则强制被黑客攻击的URL返回404：

RewriteCond %{THE_REQUEST} /eta\.php
RewriteRule ^(.*)$ - [R=404,L,NC]

有趣的是，另一条规则不起作用，就好像黑客在某种程度上搞砸了

%{REQUEST_URI}

：

RewriteCond %{REQUEST_URI} ^/eta\.php [NC]
RewriteRule (.*) - [R=404,L]

---

一件好事是备份MySQL数据库并在记事本中打开。查找所有链接并删除。之后保存.sql文件并上传回查看

还可以通过源代码查看HTML文件中插入javascript/iframe的位置，并查找数据库中是否存在javascript/iframe，然后删除

同时重新安装wordpress安装，重新安装插件和模板（用新文件替换所有文件）

这就是我保存许多站点的方式

---

也可以做@vard在您的评论中写的事情。

从orbit中删除服务器，从头开始重新安装，这次加强安全性，从已知良好的备份中恢复（我希望您有一些）。通常，试图清理一些东西没有什么意义；据你所知，你的服务器已经安装了根目录，无论你做什么，它都会不断恢复到“黑客状态”。你可能在某个地方隐藏了一些恶意代码，添加了这个重写规则。检查的几个步骤：1。查看您的WP安装文件的修改时间，并查看最近是否更新了任何文件。2.搜索任何添加\重写\规则引用，查看是否有可疑的引用。3.寻找任何base64_解码参考（黑客可以使用base64字符串隐藏恶意代码）被黑客攻击的网站问题都是离题的，所以；再见，谢谢你@vard！按照您的建议，我在数据库中找到了三个负责重定向的条目：

\u redirect\u rule\u from:/eta.php*

，

\u redirect\u rule\u to://

，

\u redirect\u rule\u status\u code:301

。如果你回答我的意见，我会接受的。顺便说一句，这使得@deceze的建议更有价值。我作为经销商（WHM+cPanel）在共享服务器上，所以不可能使用nuking:-）但我会尽快删除并重新创建网站帐户。谢谢你们，你们太棒了！谢谢你，伊维扬，这是很多有用的建议！最后，我发现我所询问的恶意重定向是由于数据库中隐藏的

\uuuuuuuredirect\u rule

指令造成的，与@vard建议查找的指令非常相似。无论如何，谢谢你的回答，下次我们的一个网站被黑客攻击时，我一定会遵循你的回答：-）我的荣幸是帮助别人。Web开发是一个巨大的领域，你不可能什么都知道。这是不可能的。正因为如此，你需要学习，获得解决这类问题的能力，或者有人要求帮助你。愚蠢的问题不存在。祝你一切顺利！