博客入侵解决方案

前面谈到主机被入侵，博客被注入恶意代码，开始还想到等客服那边行动帮忙恢复，折腾了一周多，结果最后还是自己动手，丰衣足食。因此该主机所在的博客等站点被浏览器拦截了一周多，今天恢复了。下面说下解决方案。

其实也就是用之前提到的思路，写个脚本删除所有php文件中的恶意代码。主机提供商没有备份没办法恢复被感染前的代码。

思路就是：那段恶意代码提取出来保存在一个文件里面，例如malCode.txt，从根目录递归找出所有php文件，如果该php文件被感染即含有malCode.txt中的内容，则删除这段代码，并保存。具体而言有delMalwareCode.php：

/*
 * Created on 2012-7-5 @author: tanglei|www.tanglei.name 
 */
global $malwareCodeFile, $malCodeSize,$malwareCode;
//$malwareCodeFile = "S:/MYSITE/malCode.txt"; //本地测试用
$malwareCodeFile = "/home/username/public_html/malCode.txt";//上传至主机 
$malwareCode=file_get_contents($malwareCodeFile);
$malCodeSize = filesize($malwareCodeFile);//7317;
//$dir = "S:/MYSITE";
$dir = "/home/username/public_html";//从'根'目录开始
tree($dir);
function tree($dir)
{
	$handle = @opendir($dir) or die("Cannot open " . $dir);
	//echo "Files in " . $dir . ":\n";
	while($file = readdir($handle))
	{
		if ($file == "." ||  $file == "..") continue;
		if (is_dir($dir.'/'.$file))
		{
			tree($dir.'/'.$file);//递归找出所有php文件
		}
		if (substr($file,-4) == '.php')
			delCode($dir.'/'.$file);//处理每个php文件
	}
}
//delCode('S:/MYSITE/wp-config-sample.php');//单个文件本机测试用
function delCode($filename)
{
	echo 'del code :'."\t".$filename."\n";//log下处理了哪些文件
	global $malCodeSize,$malwareCode;
	$fHandle = fopen($filename,'r+');
	$srccontent = fread($fHandle,$malCodeSize);
	if ($srccontent == $malwareCode)//读取malCode那么大小的内容与恶意代码比较
	{
		fseek($fHandle, $malCodeSize);
		$content = fread($fHandle,filesize($filename)-$malCodeSize);//中招了，正常代码应该是从恶意代码之后到文件结束
		fclose($fHandle);
		$fHandle = fopen($filename,'w');
		fwrite($fHandle,$content);
		fclose($fHandle);
	}else{
		fclose($fHandle);
	}

}

以上代码就完成了删除恶意代码的需求。然后SSH到主机执行一下即可：

php delMalwareCode.php >del.log

，悲催的是主机提供商居然说因为中招了所以把SSH都给关掉了。那就把写好的代码通过ftp上传至指定目录，让客服执行吧。

这一步完成之后，还没完，要想关闭chrome等的拦截，还得手动去重新提交网站,申请审核。

以后得注意点吧，什么插件啊之类尽量更新下，防止被注入啊等等，还有密码之类的。