如何阻止网站管理面板中强制加载的恶意广告外部脚本？

Hey there, sorry to hear you're dealing with this pesky ad banner cluttering up your admin panel—total nightmare when it locks up scrolling! Let’s walk through how to block those unwanted URLs/scripts, and dig into where this might be coming from since your file checks didn’t turn up anything.

一、浏览器端快速拦截（临时应急） #

如果需要立刻恢复面板使用，这两个方法能快速见效：

• 用广告拦截扩展自定义规则：像uBlock Origin或AdBlock Plus这类扩展，直接添加以下过滤规则：
  • 拦截恶意域名：||sedoparking.com^ 和 ||dynadot.com^，能阻止加载这些域名下的所有脚本和资源
  • 精准隐藏广告元素：右键广告区域选择「Block element」，扩展会自动生成CSS规则把它彻底隐藏
• 开发者工具临时移除：按F12打开Chrome开发者工具，找到广告对应的<div id="partner">元素，右键选择「Delete element」，就能暂时恢复页面滚动功能

二、服务器端永久拦截（彻底解决） #

浏览器端拦截只是临时方案，服务器端拦截能从根源阻断请求：

Apache服务器（修改.htaccess） #

把以下规则添加到网站根目录的.htaccess文件中：

RewriteEngine On
# 阻止加载sedoparking的恶意脚本
RewriteCond %{HTTP_REFERER} sedoparking.com [NC]
RewriteRule ^(.*)$ - [F,L]

# 拦截可疑的hp_script.js文件
RewriteRule ^hp_script.js$ - [F,L]

Nginx服务器（修改站点配置） #

在nginx.conf或对应站点的配置文件中添加：

# 拦截sedoparking域名的所有请求
location ~* sedoparking.com {
    deny all;
    return 403;
}

# 禁止访问hp_script.js
location = /hp_script.js {
    deny all;
    return 403;
}

三、排查广告根源（找到问题本质） #

既然替换原始文件后广告还存在，说明问题不在本地静态文件里，这些方向可以重点排查：

• 第三方插件/模块：最近有没有给管理面板装过新插件？尤其是免费插件，可能夹带恶意脚本。试着禁用最近安装的插件，看广告是否消失
• 服务器隐藏脚本：检查服务器的定时任务（crontab -l），或者用命令查找可疑JS文件：find /path/to/your/site -type f -name "*.js" | grep -v "你的原始文件目录"，看看有没有陌生的脚本
• CDN/反向代理缓存：如果用了CDN，检查缓存是否被篡改，尝试清空CDN缓存看广告是否消失
• 数据库动态注入：有些恶意脚本会把广告代码存在数据库里，面板加载时动态渲染。可以用SQL查询搜索可疑内容：SELECT * FROM 你的表名 WHERE content LIKE '%sedoparking%' OR content LIKE '%dynadot%'

四、针对你提供的广告代码的额外处理 #

从你贴的代码看，广告是通过document.write加载的sedoparking脚本，还调用了/hp_script.js。可以在管理面板页面的头部添加一段自定义JS，阻止恶意脚本执行：

// 保存原始的document.write方法
const originalWrite = document.write;
// 重写方法，过滤包含sedoparking的内容
document.write = function(text) {
  if (!text.includes('sedoparking')) {
    originalWrite(text);
  }
};

内容的提问来源于stack exchange，提问作者Med aziz B'a