WordPress站点遭入侵植入atob加密JS代码：功能与影响咨询

代码核心逻辑 #

你看到的这段代码是用atob()对base64加密字符串解码，再通过document.write()将解码后的内容直接插入全站页面。要确定具体功能必须解码隐藏的加密文本，但基于这类恶意注入的常见模式，它大概率属于以下几种类型：

典型功能 #

• 黑帽SEO劫持：解码后通常是隐藏的垃圾外链、关键词堆砌内容，或是嵌入指向恶意/垃圾站点的iframe，黑客借此利用你的站点权重提升黑帽站点的搜索引擎排名。
• 恶意广告注入：插入弹窗广告、强制跳转广告，干扰用户体验的同时，通过用户点击恶意广告获取非法收益。
• 用户数据窃取：包含窃取用户Cookie、表单输入信息（如登录凭证、支付数据）的逻辑，将数据回传给黑客服务器。
• 浏览器劫持：修改用户浏览器默认设置（主页、搜索引擎），或强制跳转至钓鱼、恶意站点。
• 加密货币挖矿：解码后为挖矿脚本，占用用户设备的CPU/GPU资源，导致用户访问站点时设备卡顿、发热。

可能造成的后果 #

• 搜索引擎惩罚：若涉及SEO劫持，你的站点会被搜索引擎标记为恶意站点，排名大幅下滑，甚至被移除收录，直接损失自然流量。
• 用户信任崩塌：弹窗广告、页面异常跳转、设备卡顿等问题会严重影响用户体验，导致用户流失，甚至被用户举报。
• 用户数据泄露风险：如果是数据窃取类代码，用户的个人信息、登录凭证可能被盗，进而引发用户账号被盗等问题，你可能需要承担相应责任。
• 服务器资源过载：挖矿脚本或大量广告加载会消耗服务器带宽与算力，导致站点加载缓慢甚至崩溃。
• 后续入侵隐患：黑客已获取过管理员权限，即便更换了密码，也可能留下隐藏后门（如新增管理员账号、恶意主题/插件、篡改核心文件），存在再次被入侵的风险。

快速解密方法 #

要确认代码的具体功能，你可以复制那段加密的base64字符串（PHN...cHQ+），在浏览器开发者工具的控制台中执行：

atob("这里替换为加密字符串")

运行后就能看到解码后的原始内容，从而精准判断其恶意行为。

内容的提问来源于stack exchange，提问作者LaRi