帮我看看这段 PHP 代码是木马后门么?

[yanwen]

早上就收到阿里云的警告,说这个是木马....

求帮忙看看..金币致谢 感谢了

<?php

include "./common.php";

if (!isset($_GET['name'])) {
	die("missing name");
}

// trigger auth
$vcnt = xcache_count(XC_TYPE_VAR);
xcache_admin_namespace();

$name = $_GET['name'];
if (!empty($config['enable_eval'])) {
	eval('$name = ' . $name . ';');
}

if ($_SERVER['REQUEST_METHOD'] == 'POST') {
	if (!empty($config['enable_eval'])) {
		eval('$value = ' . $_POST['value'] . ';');
	}
	else {
		$value = $_POST['value'];
	}
	xcache_set($name, $value);
	header("Location: ./?do=listvar");
	exit;
}
$value = xcache_get($name);
if (!empty($config['enable_eval'])) {
	$value = var_export($value, true);
	$editable = true;
}
else {
	if (is_string($value)) {
		$editable = true;
	}
	else {
		$editable = false;
		$value = var_export($value, true);
	}
}

include "edit.tpl.php";

[mht]

往这个页面 post 东西就能执行代码了，你说呢？木马可能说不上，但是肯定是漏洞，eval 这种函数不应该用。

[crab]

https://github.com/alepharchives/xcache/blob/master/htdocs/cacher/edit.php
?

[Arnie97]

木马不会这么大摇大摆的，估计作者水平不行…

[dangyuluo]

估计不是后门，是编写人员技术不行，居然光明正大 eval get 来的参数

[sdpfoue]

现在有些码畜真的要逆天 素质差的一比

[WordTian]

只能说开发人员没安全意识

[hcymk2]

代码安全意识其实就和行人过马路是否看红绿灯一样。