被挂马，帮忙解密这个php文件，高手！！

ali727

abouttus.zip (21.66 KB, 下载次数: 783)

2014-8-9 12:26 上传

点击文件名下载附件

在网站目录下多了这个文件 abouttus.php，貌似加密了。

高手，帮忙解密看看，查找一下原因。

谢谢！

psdshow

禁用base64_decode eval函数

psdshow

这个只是马 解密这个有毛用
只是0和o混淆了一下

ali727

psdshow 发表于 2014-8-9 12:33
禁用base64_decode eval函数

根源在哪里？

ali727

psdshow 发表于 2014-8-9 12:36
这个只是马 解密这个有毛用
只是0和o混淆了一下

要怎么处理？

psdshow

看看自己的程序里面有没有用到base64_decode 没有就禁掉
eval也看看 如果没有用到也禁掉
这样这个马就失效了
但最关键的是找出被挂马的源头

ali727

psdshow 发表于 2014-8-9 12:50
看看自己的程序里面有没有用到base64_decode 没有就禁掉
eval也看看 如果没有用到也禁掉
这样这个马就失效 ...

就是咯，找出这个马的源头，不然留着后门，说不定下次又遭殃。

psdshow

ali727 发表于 2014-8-9 12:54
就是咯，找出这个马的源头，不然留着后门，说不定下次又遭殃。

这就是你要的解密后的数据

jiemi.zip (10.39 KB, 下载次数: 878)

2014-8-9 13:18 上传

点击文件名下载附件

psdshow

前面eval之前的那段其实是定义了几个函数名称,用eval来解析成可执行的,
eval这个函数具有极大的危险性

1. <?php
   
2. $O00OO0='n1zb/ma5\vt0i28-pxuqy*6lrkdg9_ehcswo4+f37j';
   
3. $O00O0O='base';
   
4. $O0OO00='strtr';
   
5. $OO0O00='substr';
   
6. $OO0000='52';
   
7. $O00O0O='base64_decode';

复制代码

后面的内容是通过
base64_decode解码
strtr替换
substr截取

seven