Что делает этот скрипт?

Question

У меня есть сайт, на котором пользователи могут загружать файлы для совместного использования с другими. Но сначала мне нужно их проверить. В последнее время кто-то загрузил .php файл со следующими командами:

‰PNG 

<?php 
eval(gzinflate(base64_decode("very large strings of characters"))); 

?> 

Я полагал, что это может быть вредно, поэтому я не открыть его.

Кто-нибудь знает, что он делает?

Answer 1

Кажется, что код злоумышленника был закодирован base64 и gzipped.

Итак, сначала код декодируется из кодировки base64, а затем распаковывается в основном до строки кода.

И затем eval вызывается на результирующую строку, которая будет выполнять код, который был декодирован и распакован.

Но, не видя, какой код генерируется, трудно сказать, что он будет делать, когда код будет запущен.

---

Я декодировал закодированный текст. Используя следующий подход:

(Думаю, что писать в файл было плохой идеей сейчас, когда я думаю об этом. В основном, если вы в Windows. Я думаю, что это немного безопаснее в Linux, когда бит завершения отключен. Так что я был отчасти повезло в этом случае!)

<?php 
$test = gzinflate(base64_decode("encoded_text")); 
$myFile = "testFile.txt"; 
$fh = fopen($myFile, 'w'); 
fwrite($fh, $test); 
fclose($fh); 

Я написал вывод в файл только в случае, если был какой-то случайный HTML или Javascript, который может заразить компьютер, если я просто повторил его в своем браузере. Возможно, поэтому вы получили антивирусное предупреждение.

Я еще не уверен, что он делает.

---

Просто пробегая через код, который походит на 4750 строк кода, похоже, он устанавливает Basic Auth. И тогда есть много функций базы данных и некоторый базовый html-интерфейс. Это в PHP. Там также есть некоторые perl. Близко к концу.

По существу, это выглядит так: каждая страница, на которой отображается это изображение, выводит части этого кода и выполняет ее вместе с вашим кодом, и она попытается получить входные данные или попытаться найти данные сеанса и/или базы данных.

Затем другие части кода в основном создают интерфейс администратора, когда URL-адрес посещается следующим образом: url? Admin = 1, который вызывает аутентификацию Basic Auth. И тогда есть простой интерфейс phpmyadmin, такой как интерфейс, где пользователь может опробовать разные запросы и собрать метаданные о вашем db. Вероятно, другие вещи запускаются для exec и т. Д.

Я мог ошибаться, но это суть, которую я получаю от прохождения кода.

Answer 2

никто не может сказать вам, просто сделать

<?php echo gzinflate(base64_decode("very large strings of characters")) ?> 

, чтобы увидеть, что это бы делать ....

редактировать: а теперь, когда вы выложили всю строку я декодированного его и вставил его here

Answer 3

Код прекрасно единственное, что вам нужно заботиться является длинной строкой, которая шифруется

< ?php eval(gzinflate(base64_decode("very large strings of characters"))); 

для ведения такого рода заявления, вы можете обратиться к

http://php.net/manual/en/function.gzinflate.php