有人可以帮我看看这个被挂马的 PHP 怎么解析出内容吗？

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

已注册用户请登录

这是一个创建于 2973 天前的主题，其中的信息可能已经有所发展或是发生改变。

突然服务器监控到非常慢的执行文件
然后找到了一个名字叫 error.php 的文件，我虽然删除了，但是还很不放心，可以帮我看看里面是什么内容吗？或者有什么方法可以看到吗？类似 base64_decode 之类的加密？

http://runjs.cn/detail/t7pjk2ps
点击查看源码帮我查看下拜托各位。

PHP

查看

源码

文件

48 条回复 • 2016-03-11 23:26:44 +08:00

Strikeactor

2016-03-09 22:14:43 +08:00

让你们老板招个运维吧真的。。

hoythan

2016-03-09 22:18:28 +08:00

@Strikeactor ...

emric

2016-03-09 22:20:02 +08:00

一句话木马。

hoythan

2016-03-09 22:21:16 +08:00

@emric 我不知道内容，也不知道怎么出现的...我想先知道内容，来了解危害性有多大

qcloud

2016-03-09 22:24:13 +08:00

@hoythan - - 如果真是木马，服务器权限就被拿到了

qcloud

2016-03-09 22:27:02 +08:00

@emric 看上去并不像一句话

raincious

2016-03-09 22:34:10 +08:00

楼主你这是连续剧么？

Day 1 ：因为图片未压缩导致应用程序服务器带宽被挤爆
Day 2 ：（猜测是）因为 SQL 查询太多导致 MySQL 服务器被查爆
Day 3 ：被挂了木马

楼主，全栈工程师真的需要很多经验，不是一两天就会的。让你老板招一个前端 + 一个运维，让专业的人来做专业的事。自己在经验不足的情况下会可能会越弄越糟糕。

比如你那个木马，至少得把文件帖全了啊😂。

MaiCong

2016-03-09 22:36:01 +08:00

楼主能把对应的代码贴全吗

yangqi

2016-03-09 22:36:59 +08:00

自己运行一下，把 eval 去掉就行了，得到一个 109K 左右的 php 文件

Moker

2016-03-09 22:39:45 +08:00

运行 echo 可以替换成一段 PHP 代码然后就是这个作怪了话说发生这种问题一般来说都是盗版主题的问题

yangqi

2016-03-09 22:42:22 +08:00

放在这里了
http://codepad.org/Wl8XwCWT

自己看吧

yangqi

2016-03-09 22:45:50 +08:00

yangqi

2016-03-09 22:46:14 +08:00

看了下好像是用来发垃圾邮件的

hoythan

2016-03-09 22:48:13 +08:00 via iPhone

@Moker 整个网站除了 wordpress 系统外都是我自己写的，我也不知这个文件是怎么出现的

strwei

2016-03-09 22:49:14 +08:00

eval 大法好

hoythan

2016-03-09 22:49:19 +08:00 via iPhone

@yangqi

我眼睛都看瞎了，大量的 sendCommand 难道是评论机？

stanhou

2016-03-09 22:49:27 +08:00

你们就继续帮 LZ 解决问题吧。
下次 LZ 的问题就是：
“我们老板交给我一个任务，需求在这个网盘里，请好心人帮忙给做一下，最好了请直接发到我老板的邮箱里，省的我中转了，拜托各位”

hoythan

2016-03-09 22:52:16 +08:00 via iPhone

@stanhou 我是真的解决不了，文件我已经自己处理成标准的 php 格式了，但是还是有少部分无法解码， php 也没法运行。相比较鱼，我更希望得到渔具。

ddaii

2016-03-09 22:53:33 +08:00

其实不用管这个文件是什么内容，既然这个文件已经被执行了，那说明黑客至少能读写你的文件以及数据库，至于到什么程度就看你是怎么配置的了。另外，后门一定还在不解决掉它以后还会再来的。

yangqi

2016-03-09 22:54:15 +08:00

@hoythan 其实很简单，整个文件把 eval 改成 print 就可以了

yangqi

2016-03-09 22:55:57 +08:00

如果是 wordpress 的话漏洞还是很多的，不过大部分都是第三方插件或者模板。之前也被人下过一个马

一般在什么目录下能大概知道是从哪里进来的

hoythan

2016-03-09 22:56:10 +08:00 via iPhone

@ddaii 因为我写过一个基于来源的 editor.md 。里面附带了一个 upload.php 文件功能，我怀疑是通过这个将这东西写文件到我服务器上的。现在我就是不知道日后这种问题应该如何排查。

hoythan

2016-03-09 22:58:36 +08:00 via iPhone

@yangqi 因为这个 error.php 就是生成在这个编辑器之下，既然有生成权限我担心会大量的生成到其他地方心好累

jugelizi

2016-03-09 22:59:41 +08:00

查看文件创建时间是程序上传还是系统漏洞
ftp 是不是一直被扫端口
查看访问日志

ddaii

2016-03-09 23:00:00 +08:00

看日志啊，在日志里搜索这个文件，看看是哪个 ip 在访问它，然后查找这个 ip 的所有访问记录大概就可以找出来了。

raincious

2016-03-09 23:08:20 +08:00

@yangqi 原来代码是帖全了，但是选择了 HTML 模式。

我也看了下那个文件，应该是用来发送垃圾邮件的。楼主你是不是真的下了盗版主题？

这个文件会接受 HTTP POST 请求，并且拿出请求的第一个参数作为配置交给 `type1_send` 函数。

`type1_send` 函数拿到配置之后，会用函数 `b64d` 以及 `decode` 将配置解开，然后 `unserialize`。`ak` 应该是密码？`sendSmtpMail` 函数用来构建一个 PHPMailer 实例来发送邮件（真牛逼啊，打包了整个 PHPMailer 进去，这么大真还算是偷偷摸摸么）

其实有未受控的 `unserialize` 就已经够不安全了，或许可以进行对象注入，把它当作木马完全不过分。

MaiCong

2016-03-09 23:11:52 +08:00

楼主如果有完整的那个数组函数，可以这样解码试试：
https://gist.github.com/maicong/738df897ca1d217bfe66

yangqi

2016-03-09 23:11:56 +08:00

@hoythan 查日志，多半和 upload.php 有关。要看 upload.php 里面具体怎么写的，一般没拿到 shell 的话很难传到其他文件夹

wordpress 的站每时每刻都有各种扫描漏洞的机器人

MaiCong

2016-03-09 23:21:52 +08:00

已经解出了源码