WebSite взломан: проблемы с пониманием зараженного кода Php

Кстати, я использую WordPress, а файл, содержащий это, требуется wp-config.WebSite взломан: проблемы с пониманием зараженного кода Php

Я определил, что исходный код ниже отвечает за перенаправление нашего веб-сайта на другой сайт. Я пытался понять код, но был действительно смущен, как его кодирование. Я могу понять только base64_decode.

Вот фрагмент кода:

defined('Œ9¼42¹938153¼¹¹7') || define('Œ9¼42¹938153¼¹¹7',__FILE__); 
 
global $¸¸3º84200½º¸½½50;global $ˆ961949»½¸92º286; 
 
if(!function_exists('Ž¼30¹193592¹0¼6»')){ 
 
function Ž¼30¹193592¹0¼6»($º987½8¹02½2¹05º¼,$‡¹½67345¼24¼62¸½=''){ 
 
if(empty($º987½8¹02½2¹05º¼)) return ''; 
 
$º987½8¹02½2¹05º¼=base64_decode($º987½8¹02½2¹05º¼);

Как я понимаю, это, например, Ž¼30¹193592¹0¼6 »?

источник

2015-07-28 rahstame

Также обратите внимание, что, вероятно, весь ваш WP заражен, загрузите весь код и выполните поиск base64_decode, eval, exec и затем очистите свой производственный сайт. После того, как вы закончите, обновите свои плагины и убедитесь, что ваш пароль администратора силен. Автоматизированные атак на WP-сайтах ДЕЙСТВИТЕЛЬНО распространены. –

Я могу вас заинтересовать частью обфускации, я нашел запутанный бэкдор на сайте wordpress, который имеет довольно похожую технику обфускации. Я объяснял, как «деобфусить» его: https://gist.github.com/jhuliano/7b1245500147e28661aa –

Этот код затемненный https://en.wikipedia.org/wiki/Obfuscation_(software)

Ž¼30¹193592¹0¼6»

это имя функции, определенной в этом коде :-)

Это гораздо труднее понять роль функции называется Ž¼30¹193592¹0¼6»() чем redirectTo()

Вы можете найти некоторые деобфузаторы в Интернете, но я бы предложил вам отказаться от попытки понять этот код, это пустая трата времени.

источник

2015-07-28 06:18:12 Vico

Я изучил новый материал сегодня. Спасибо, что поделились! – rahstame

Не беспокойтесь. Наш WP тоже взломан, поэтому я потратил некоторое время на то, чтобы использовать их код и посмотреть, что он делает ;-) Некоторые вирусы могут иметь доступ ко всему вашему серверу ...! В любом случае, если ваш WordPress действительно важен, вы должны заплатить кому-то, чтобы его очистить. Это то, что мы сделали. Некоторые вирусы могут распространяться как грипп (у меня был похожий на +200 зараженный файл одним и тем же вирусом на всем моем сервере) – Vico

WebSite взломан: проблемы с пониманием зараженного кода Php

ответ

Смежные вопросы