吐槽Evoxt清理注入误伤一大片

前天突然发现我的网站出现进入一片白

使用f12发现是js语法错误，但是最近今天从来没有上个机器

最开始以为是机器被黑了

一查发现是宿主机通过 qemu-guest-agent 向虚拟机下发了一个清理脚本：

EVOXT injection cleaner v3

1、扫描这些目录：

/var/www

/www

/home

/usr/share/nginx

/usr/local/nginx

/opt/1panel

/srv

/htdocs

/data

/usr/local/lsws

2、查找包含 _addIframe 的：

*.js

*.mjs

*.cjs

*.html

*.htm

使用 tail -c 截掉被认为是恶意注入的文件前缀。

将截取后的内容覆盖回原文件。

删除 .jsinject_1.js、.jsagent.py 等注入工具。

关键代码是

off=$(head -c 4096 "$f" | grep -abo '_addIframe);' | head -1 | cut -d: -f1)

cut=$((off + 17))



tail -c +$((cut+1)) "$f" > "$tmp"

mv "$tmp" "$f"



    

  

导致清除 _addIframe 注入代码时，把原 JS 的第一个字符也一起截掉了。

必须得狠狠吐槽。同时建议MJJ们也去查查自己的程序