一夜之间， 35000 个 WordPress 站被攻破，一场蓄谋已久的计划，可能成为 WP 史上最大事件

[MarkZuckerberg]

本人是博主、站长，运营数十个 WordPress 的站。

大约一周之前，陆续地发现，几个站多了一篇状态为“ Trash ”的文章，标题均为《 Hello World 》，内容均为"Welcome to wiki This is your first post. Edit or delete it, then start blogging!"

当即判断该站被挂马，已被提权。

以"Welcome to wiki This is your first post. Edit or delete it, then start blogging!"为关键字在 G 上搜了一下，前几十页的结果大多发生在今年，仅本月就出现 19 页结果。

8 月 1 日凌晨左右，陆陆续续有站被放上后门。

以被黑的几个站为线索，找到了一个名为 backdoorGood.txt 的列表，里面记录了 35000 个被攻破的站的信息： formfactset.org:8082/static/backdoorGood.txt

其中，我的某些站的域名在列表里，其它的也不乏各国的 .gov 网站、我国同胞的 .cn 站。可以看到，大多数被挂马的目录，都是 /2019/07/ 或 /2019/08/ ，然而 8 月才刚刚过去不到一天。

目前幕后黑手不明、动机不明。

对我造成的影响不大，如果哪位 V 友感兴趣，可以深入挖掘一下。说不定有惊喜 :-)

[Deteriorator]

我靠，赶紧看看，还好没我， ：-）

[julypanda]

我的不在里面

坐等大佬深挖

[Felldeadbird]

关注，会不会是某个插件呢？

[ylx]

我的正常，一般都跟进更新到最新版

[windirt]

我说昨天有个虚拟主机上的 wp 站打开 402 错误，cpanel 看内存全部耗尽，提 ticket 才恢复，没有被挂，估计是被攻击，wp 是设置了自动升级最新版的

[MarkZuckerberg]

感谢关注
@Deteriorator
@julypanda
@Felldeadbird
@ylx
@windirt

最近更新，黑客团队似乎又有了新动作，朋友的几个 WP 站也都被黑了

[ayconanw]

是 wordpress 的漏洞还是某个插件的漏洞 /后门？

[MarkZuckerberg]

@Felldeadbird
@ayconanw
似乎是插件。我的多个站。都是自动更新到最新版，出事是也是最新版。

[Felldeadbird]

@MarkZuckerberg 分析一下看看是那个插件？ 对比一下手头没有被黑的站。WP 有一些插件漏洞真的可怕。

[ck00004]

可以提供下日志和插件使用列表吗

[ck00004]

我分析一下

[PHPer233]

我是一名网络安全工程师，楼主能否提供网站访问日志等信息方便我排查问题根源？

[luc4s]

能否提供一些被篡改的 php 文件示例

[silencefent]

煎蛋药丸

[smallgoogle]

全都是一个下载后门。。大概内容就是，发送一个下载地址给他，然后他下载一个后门，大概是用来 DD 或者 CC 的。然后他那边主控上线。就酱紫； 里面涵盖了一个 kill 杀掉原有的马进程，然后启动新马；就是酱紫。

[comwrg]

个人分析 https://comwrg.github.io/2019/08/09/wp-backdoorgood-writeup/