博客三个月连续被黑三次！WP后门木马排查与安全加固记录

最近博客频繁被黑！这里分析一下，以及最后的解决方案！

其实被黑进来经常发生，因为每次都是腾讯云服务器会自己处理！并没有造成太大的影响，每次基本上不太在意，毕竟博客流量也不大。

过程

但是最近3个月博客频繁被黑进来，并且开始搞事情了！

第一次：8月1日，博客突然发布了2篇文章，检查后发现新建了用户，并且给了新用户管理员权限；当时直接将WP升级到最新版本！

第二波：10月国庆期间，再次被黑，同样新建了管理员用户，并且将主题的所有设置都弄没了。再次升级WP版本，禁用部分插件。

第三波：10月12日，再次被黑！！！同样新建了管理员用户，并且将主题的所有设置都弄没了。TMD，实在不能忍了。

分析

1，在插件文件目录发现可疑的插件文件，最后让AI确认确实是木马。

2，博客首页被注入恶意脚本，该脚本的目的创建用户，会利用管理员登录状态，创建管理员用户。

wp_options 表中注入恶意脚本

3，突然起来这个主题曾引用了一个有投毒黑历史的域名：cdn.staticfile.org 的前端加速，检索代码后发现是真的！

如果童鞋使用了这个域名，一定及时处理掉！因为这个域名已经不属于七牛云！多次被爆有后门！

解决

第一步：清理用户信息，这么多年博客注册用户数29733个，因为早就关闭注册了，这些用户也用处不大全部清理。

第二步：由于这十几年换过主题，安装过各种插件，导致数据库大量无用的信息，让AI一并全部清理掉。

第三步：让AI将主题引用的所有JS/CSS/字体文件，全部改为本地服务器部署的资源，不在引用三方JS。

第四步：换新服务器重新部署博客。安装最新版Nginx。

第五步：由于博客前端套了EdgeOne，下面是目前博客使用的缓存规则：

{
  "FormatVersion": "1.0",
  "Rules": [
    {
      "RuleName": "网站加速-fandai.gezi.workers.dev",
      "Branches": [
        {
          "Condition": "${http.request.host} in ['fandai.gezi.workers.dev']",
          "Actions": [
            {
              "Name": "CacheKey",
              "CacheKeyParameters": {
                "QueryString": {
                  "Switch": "off",
                  "Values": []
                },
                "FullURLCache": "on",
                "IgnoreCase": "off"
              }
            }
          ],
          "SubRules": [
            {
              "Branches": [
                {
                  "Condition": "${http.request.file_extension} in ['jpg', 'jpeg', 'png', 'gif', 'bmp', 'svg', 'webp', 'ico', 'woff', 'woff2']",
                  "Actions": [
                    {
                      "Name": "Cache",
                      "CacheParameters": {
                        "CustomTime": {
                          "Switch": "on",
                          "IgnoreCacheControl": "off",
                          "CacheTime": 2592000
                        }
                      }
                    },
                    {
                      "Name": "MaxAge",
                      "MaxAgeParameters": {
                        "FollowOrigin": "off",
                        "CacheTime": 604800
                      }
                    }
                  ]
                },
                {
                  "Condition": "${http.request.file_extension} in ['css', 'js']",
                  "Actions": [
                    {
                      "Name": "Cache",
                      "CacheParameters": {
                        "CustomTime": {
                          "Switch": "on",
                          "IgnoreCacheControl": "off",
                          "CacheTime": 604800
                        }
                      }
                    },
                    {
                      "Name": "MaxAge",
                      "MaxAgeParameters": {
                        "FollowOrigin": "off",
                        "CacheTime": 86400
                      }
                    }
                  ]
                },
                {
                  "Condition": "${http.request.uri.path} in ['/']",
                  "Actions": [
                    {
                      "Name": "Cache",
                      "CacheParameters": {
                        "CustomTime": {
                          "Switch": "on",
                          "IgnoreCacheControl": "off",
                          "CacheTime": 600
                        }
                      }
                    },
                    {
                      "Name": "MaxAge",
                      "MaxAgeParameters": {
                        "FollowOrigin": "off",
                        "CacheTime": 0
                      }
                    }
                  ]
                },
                {
                  "Condition": "${http.request.uri.path} matches '^/(category|tag|page|author)/'",
                  "Actions": [
                    {
                      "Name": "Cache",
                      "CacheParameters": {
                        "CustomTime": {
                          "Switch": "on",
                          "IgnoreCacheControl": "off",
                          "CacheTime": 600
                        }
                      }
                    },
                    {
                      "Name": "MaxAge",
                      "MaxAgeParameters": {
                        "FollowOrigin": "off",
                        "CacheTime": 0
                      }
                    }
                  ]
                },
                {
                  "Condition": "${http.request.file_extension} in ['html', 'htm']",
                  "Actions": [
                    {
                      "Name": "Cache",
                      "CacheParameters": {
                        "CustomTime": {
                          "Switch": "on",
                          "IgnoreCacheControl": "off",
                          "CacheTime": 300
                        }
                      }
                    },
                    {
                      "Name": "MaxAge",
                      "MaxAgeParameters": {
                        "FollowOrigin": "off",
                        "CacheTime": 0
                      }
                    }
                  ]
                }
              ],
              "Description": []
            },
            {
              "Branches": [
                {
                  "Condition": "${http.request.uri.path} matches '^/(wp-admin(/|$)|wp-json(/|$)|wp-login[.]php$|xmlrpc[.]php$|wp-cron[.]php$|wp-comments-post[.]php$)'",
                  "Actions": [
                    {
                      "Name": "Cache",
                      "CacheParameters": {
                        "NoCache": {
                          "Switch": "on"
                        }
                      }
                    },
                    {
                      "Name": "MaxAge",
                      "MaxAgeParameters": {
                        "FollowOrigin": "off",
                        "CacheTime": 0
                      }
                    }
                  ]
                },
                {
                  "Condition": "${http.request.file_extension} in ['php', 'json']",
                  "Actions": [
                    {
                      "Name": "Cache",
                      "CacheParameters": {
                        "NoCache": {
                          "Switch": "on"
                        }
                      }
                    },
                    {
                      "Name": "MaxAge",
                      "MaxAgeParameters": {
                        "FollowOrigin": "off",
                        "CacheTime": 0
                      }
                    }
                  ]
                },
                {
                  "Condition": "${http.request.headers['cookie']} exists",
                  "Actions": [
                    {
                      "Name": "Cache",
                      "CacheParameters": {
                        "NoCache": {
                          "Switch": "on"
                        }
                      }
                    }
                  ]
                }
              ],
              "Description": []
            }
          ]
        }
      ],
      "Description": []
    }
  ]
}

总结

今年在AI“普惠”加持下，众多知名软件接连被爆出多个高危漏洞。不少童鞋建议我前端直接做静态化。

原本计划想做一下全站静态化，刚做了一半，博客又黑了进来，暂时搁置，看看后门到底是哪来的。

后面还继续使用WP试一试！