WordPress站点asmr9999/fastjscdn恶意脚本偶现加载问题排查求助

一、恶意代码的可能位置（本地无特征字符串的原因） #

因为恢复备份后仍出现问题，且本地搜索不到特征，说明恶意代码并非存储在你的WordPress文件/数据库中，而是来自外部注入或服务器层面的劫持，常见场景：

• 服务器反向劫持：服务器被植入恶意代理规则，或CDN/机房节点被污染，偶发在响应中插入加载恶意脚本的<script>标签
• 第三方依赖动态加载漏洞：某个插件/主题存在逻辑漏洞，在特定触发条件（比如爬虫UA、特定IP）下，从远程恶意服务器拉取加载指令，而非本地硬编码特征字符串
• 服务器定时任务/恶意进程：服务器被植入恶意进程，定期篡改Web服务的响应内容，偶发触发加载行为

二、恶意脚本的具体操作 #

根据你分析的代码细节，该脚本主要执行两类恶意行为：

• 数据窃取风险：调用jszip和FileSaver.js库，大概率是尝试读取浏览器本地存储的敏感数据（比如后台用户的Cookie、本地缓存的文件），打包后通过隐蔽方式发送到恶意服务器
• 流量变现与二次攻击：嵌入广告页面强制触发跳转、诱导用户点击赚取佣金；同时广告页面可能附带浏览器劫持、挖矿脚本等二次恶意代码，进一步控制访问者设备

三、恶意域名变化的原因 #

恶意域名频繁更换是黑产的常规操作，核心目的是维持攻击持续性：

• 域名随时可能被安全厂商拉黑、DNS污染或域名注册商封禁，黑产会批量注册备用域名，通过命令控制服务器动态下发新域名，保证恶意脚本的加载链路不中断
• 恢复备份后域名变化，进一步证明攻击源不在本地备份中，而是来自外部持续的远程注入

额外排查建议 #

• 检查服务器的Nginx/Apache配置文件，删除陌生的Rewrite规则、反向代理或响应注入代码
• 查看服务器定时任务（执行crontab -l命令），清理未知的定时执行脚本
• 用抓包工具（如tcpdump）捕获站点请求，定位恶意<script>标签的注入环节（是Web服务直接输出，还是中间节点篡改）
• 临时禁用所有第三方插件/主题，切换到WordPress默认主题，验证是否还会触发恶意加载，排查插件/主题漏洞

内容的提问来源于stack exchange，提问作者hermes_44