在一次修改wordpress主题的时候，很意外的发现每个主题文件的头部都有一段这样的代码：
if(!isset($globals["\x61\156\x75\156\x61"])) { $ua=strtolower($_server["\x48\124\x54\120\x5f\125\x53\105\x52\137\x41\107\x45\116\x54"]); ...代码具体是干什么的不知道，网站显示也不会有任何异常，可是我们不能任由恶意代码这样蹂躏我们的主题，于是goolge了一下，在万能的stackoverflow上发现了解决办法。
清理恶意代码的方法
下面是一段bash脚本，把脚本放在上，执行脚本./remove_malware.sh /var/www/wp_path/ clean即可移除恶意代码。
#!/bin/bash
#
# this script remove malware of php files.
#
if [[ -z "$1" ]]; then
echo "directory where to find is required."
else
grep -rnwl $1 --include \*.php -e "\\\\x48\\\\124\\\\x54\\\\120\\\\x5f\\\\125\\\\x53\\\\105\\\\x52\\\\137\\\\x41\\\\107\\\\x45\\\\116\\\\x54" | while read -r filename ; do
if [[ ! -z "$2" ]]; then
echo "found file $filename. cleaning..."
awk 'begin {matches=0} matches < 1 && /1/ { sub(/^.* $filename.purged
mv $filename $filename.bck
mv $filename.purged $filename
else
echo "found file $filename."
fi
done
echo "done."
fi经测试，脚本可能会误判正常的文件，删掉正常文件的第一行代码，不过误判的几率比较小，以防万一，建议删除之前把网站整体备份一下。
上面脚本执行后，会生成一些后缀为.bck的备份文件。如果需要清理这些文件，运行以下命令即可。
find . -name *.bck | xargs rm -vf