قبل بضعة أشهر ، أبلغني أحد عملائي أنه عندما يصل إلى موقعه على الويب من خلال Google ، تتم إعادة توجيهه تلقائيًا إلى موقع هجوم أبلغ عنه Firefox. ولكن ليس لديهم مشاكل في الوصول إلى الموقع مباشرة. عندما يتم إعادة توجيه موقع ويب موثوق به إلى موقع ويب هجوم ، فهذه علامة على اختراق موقع الويب وتعديل بعض البرامج النصية لإنشاء إعادة التوجيه التلقائية.
عندما شاهدت بعض ملفات PHP ، كان هناك الكثير من عمليات التقييم (تتم إضافة كود base64_decode بعد ذلك
بعد أسابيع قليلة ، لاحظت أن جميع مواقع Worpdress قد أصيبت بالشفرة الخبيثة مرة أخرى! ما فعلته سابقًا هو تنظيف عملية إعادة التوجيه فقط ، ولكن لم ألقِ نظرةً أكبر على سبب إدخال الشفرة الخبيثة. بعد الاستقصاء ، يبدو أن أحد عملائي قام بتنشيط موضوع يستخدم نص TimThumb.php قديمًا وضعيفًا عندما يكون الإصدار الأخير اليوم عند 2.8.10. سيؤدي استبدال ملف tiumthumb.php القديم بأحدث إصدار إلى منع حقن موقع الويب برمز ضار. لتنظيف الموقع ، وجدت سكربت PHP يمكنه الزحف تلقائيًا إلى جميع ملفات PHP على موقع الويب وإزالة أي كود تقييم ضار معروف base64_decode. إليك ما يبدو عليه الرمز الضار عند إدراجه في ملف PHP. يمكن أن يكون هناك العديد من التعليمات البرمجية التي يتم حقنها في ملف PHP واحد لذلك ستحتاج إلى التحقق من الملف بأكمله.
يتم ترميز الحروف والأرقام العشوائية باستخدام القاعدة 64 ومن الممكن فك تشفيرها من بعض الخدمات عبر الإنترنت التي تقدم هذه الخدمة. بعد فك تشفير base64 ، تتم إعادة توجيه أي شخص يأتي من محركات البحث مثل Yahoo و Google و Bing وغيرها تلقائيًا إلى minkof.sellclassics.com.
لبدء تنظيف كود base64_decode الخبيث المحقون ، كل ما علي فعله هو تحميل ملف cleaner_2.5.php الرائع الذي كتبه PHP Beginners إلى جذر المجال ثم تشغيل البرنامج النصي من موقع الويب. على سبيل المثال ، http://www.test.com/cleaner_2.5.php. سيبدأ البرنامج النصي في مسح وإزالة أي تعليمات برمجية ضارة تم اكتشافها من ملفات PHP. يرجى التأكد من عمل نسخة احتياطية من ملفات موقع الويب الخاص بك قبل تشغيل هذا البرنامج النصي بحيث يمكن العودة إلى أي تغييرات قام بها البرنامج النصي الأنظف.
عندما ينتهي البرنامج النصي للنظف من المسح ، سيعرض كمية الملفات التي تم العثور عليها مصابة. هذا البرنامج النصي الأنظف هو وقت كبير وموفر للجهد! تأكد من تغيير كلمة مرور مستخدم WordPress وكلمة قاعدة البيانات بعد التنظيف. إذا استمر اختراق موقعك على الويب بعد التنظيف وعدم التأكد من السبب ، فمن المحتمل أن المهاجم أسقط بعض الملفات عميقًا داخل بعض المجلدات التي تتيح لهم الوصول إلى موقع الويب الخاص بك. يمكنك تشغيل البرنامج النصي للماسح الضوئي وإرسال نتيجة الفحص إلى مؤلف البرنامج النصي على 
.
تنزيل البرنامج النصي الأنظف | قم بتنزيل برنامج Scanner Script
