服务器被黑，所有文件被加入跳转代码。如何能批量修改？

[MarkZuckerberg]

11 月份又有成千上万的 wordpress 被黑，Google 上也可以搜到最近的新闻

被黑的站基本上都跳转到 buyittraffic 或 trasnaltemyrecords 这俩带尾巴的网站

服务器中凡是带有 “index” 前缀的文件，均被修改并加入了 <script> 跳转代码。</p> <p>所有带 “.js” 后缀也被修改，加入了自动跳转代码。</p> <p>由于数量多（每个站大约 100 个文件左右），不可能手动一一修改。请问如何能快速的将某些文件的第一行删掉？或者自动识别出跳转代码，删掉？</p> </script>

[Fufh]

不懂，楼下有什么解决方法

[712e1959]

sed

[sinkdwt]

你现在知道为什么 PHP 是最好的语言了吧？

[vacker]

所以我用 git，随时恢复，防范于未然

[Raynard]

notpad++

批量替换

[opengps]

查找所有 window. href

[hzwjz]

sed -i "s/old_pat/new_pat/g" <file>

[iwillhappy1314]

这种情况只能写脚本替换了，给个参考 https://www.wpzhiku.com/remove-malware-code-x61156x75156x61/

[MarkZuckerberg]

@Raynard 如果要替换的内容为多行的话，如何操作？我看了一下 js 文件，基本都是在文件开头添加了 7 行。是不是可以使用正则表达式代替回车？

[QUIOA]

他们是怎么黑掉的，什么漏洞

[MarkZuckerberg]

@QUIOA 11 月的 adminer 漏洞注入的

[zappos]

@MarkZuckerberg 多行就把 . 换成 [\s\S]，或者把 . 匹配新行给勾上。

基于 js 的编辑器可能没有 dotall 模式，这个模式在今年的 es 标准才被引入。

[manami]

如果一开始用了 git 就方便了

[msg7086]

有一点好就是我们被黑的时候链接给的是 http 的，然后我们是有强制 https 策略的，所以就算被注入了，其实浏览器也是不会去加载脚本的。
你可以把代码扔进 console 里，看看 pl 地址是什么，如果也是 http 的话其实不用太担心→_→

[Rheinmetal]

docker 也容易恢复 有没有备份？
没有的话一行一行看吧

[chibupang]

七楼正解

[feiyang221]

代码丢编辑器里正则表达式修改，后面可以全站爬虫检索一下有没有漏网之鱼，我是这么做的

[feiyang221]

爬虫工具用的 ScreamingFlog，搞 SEO 的

[Lunatic1]

所以这就是为什么我用 hexo 的原因了，就算被黑重新回退不就行了

[Lunatic1]

建议重新部署吧