![黑客利用Wordpress安装](https://linux22.com/image/578845/%E9%BB%91%E5%AE%A2%E5%88%A9%E7%94%A8Wordpress%E5%AE%89%E8%A3%85.png)
我在一台服务器上的 IIS7 上运行 WordPress。出于某种原因,黑客能够更改所有文件的读/写权限,然后在 index.php 文件的顶行注入一个脚本标记。
我应该从哪里开始查找才能弄清楚他们是如何覆盖文件的?
答案1
首先,升级到最新版本的 wordpress。然后禁用所有插件。这样可以阻止这些恶意程序,同时您可以对机器进行更多取证。
查看您的访问日志,查找相关文件 mtime 时间前后的请求,这些请求要么是 POST,要么是带有奇怪查询参数的 GET。注意所请求的 URL,以及它们是否与插件或核心代码相关联,这将有助于缩小攻击媒介的范围。然后,您可以重新启用与问题无关的插件(再次将它们更新到最新版本以最大限度地降低风险)。
从那以后,一切都取决于你之前发现了什么以及你的技能水平。你可以玩蜜罐,尝试获取有关攻击者正在做什么的更多信息,但我猜从你明显的经验水平来看,你可能在这方面会遇到一场艰苦的战斗。一般建议只是及时更新补丁,关注 wordpress 公告以获取安全更新,并祈祷你不会受到零日攻击。