暗号化された PHP スクリプトのデコード手順

暗号化された PHP スクリプトの復号化方法
3 週間前、私は Base64 で暗号化された PHP スクリプトをデコードする方法を紹介する記事を公開しました。数日前、Fetion Friends Walker は、より複雑で奇妙な PHP スクリプトを投入しました:

各ステップのソース コードをダウンロード

//0.php
$OOO0O0O00=__FILE__;$OOO000000=urldecode('%74%68%36%73%62%65%68%71%6c%61%34%63%6
f%5f%73%61 % 64%66%70%6e%72');$OO00O0000=26408;$OOO0000O0=$OOO000000{4}.$OOO000000
{9}.$OOO000000{3}.$OOO000000{5};$OOO0000O0 。 =$OOO000000{2}.$OOO000000{10}.$OOO000
000{13}.$OOO000000{16};$OOO0000O0.=$OOO0000O0{3}.$OOO000000{11}.$OOO000000{12 } .$
OOO0000O0{7}.$OOO000000{5};$O0O0000O0='OOO0000O0';eval(($$O0O0000O0('JE9PME9PMDA
wMD0kT09PMDAwMDAwezE3fS4kT09PMDAwMDAwezEyfS4 kT) 09PMDAwMDAwezE4fS4kT09PMDAwMDAwezV
9LiRPT08wMDAwMDB7MTl9O2lmKCEwKSRPMDAwTzBPMDA9JE9PME9PMDAwMCgkT09PME8wTzAwLCdyYic
pOyRPTzBPTzAwME89JE9PTzAwMDA 30uJE9PTzAwMDAwMHsyMH0uJE9PTzAwMDAwMHs1fS4kT09
PMDAwMDAwezl9LiRPT08wMDAwMDB7MTZ9OyRPTzBPTzAwTzA9JE9PTzAwMDAwMHsxNH0uJE9PTzAwMDA
wMHswfS4kT09PMDAwMDAwezIwfS4kT09PMDAwMDAwezB9LiRPT08wMDAwMDB7MjB9OyRPTzBPTzAwME8
oJE8wMDBPME8wMCwxMTgyKTskT08wME8wME8wPSgkT09PMDAwME8wKCRPTzBPTz A wTzAoJE9PME9PMDA
wTygkTzAwME8wTzAwLDkwOCksJ0kvTU5LQUNkVlJHUXlEV1VncTY4d3BrYXpMTzVsdG5tVEIrMGJ2OXV
IcnhGN1hTWTFFM2ZaaGlqYzRlMm9Kc1A9Jy DREVGR0hJSktMTU5PUFFSU1RVVldYWVphYmNkZWZ
naGlqa2xtbm9wcXJzdHV2d3h5ejAxMjM0NTY3ODkrLycpKSk7ZXZhbCgkT08wME8wME8wKTs=')));
順番;?> ;
tiBr5CwHGMBrljDvtMTb6AqwwAJ8qpRkqpRmpbA6wh7uwZp6pbp6aZ4/8wwua6brR+zHVkp3LktrGMlH
GMcxaMcrUiqHzkvSzk4lQ9DY56voGMBlQ+ rlaMcrUiBFyuDH5jplQ9DY56vo GMBlQ+rlaMcrUiEYziA7
OCJftMbuQMqVpAqgahDAwvLAwvJkgpR8k3t8qpRkqpRm8bADq6ttG6brmd1HGCvflipZGMqmwZp6pbp6
k3tVpAqgaZBU whgua6brR+zHVkp3LktrGMlHGMcxaMcrUiqHzkvSzk4lQ9DY 56voGMBlQ+rlaMcrUiBF
yuDH5jplQ9DY56voGMBlQ+rlaMcrUiEYziA7OCJftMbuQMqmwZp6pbp6k3tVpAqgaZBUwhgua6brG6v b
OkwHRomF3Fu81JU31P7TLCBBOk4B5+405iZTOC73liBYt6 405iij1o2GHe3EYFazEsYGStUNH2r75iDB
5CBYlj6BH2UyZUG4S7Q3EsY/x7shwpC0S0gED8V1DMlrW3qU8fI18 fI18fIJljq3ajRvlCEBziwHRhJm
qbvyqpJmR31+R3 VSRKJU8f/UyKo1yMc+R3V7GMqU8Zo1yNI18fIHRKJUyKJUyN/UyMTb8Zo18Zo1yN/ U
GMqUyNI18f/UyNI7RKJUyN /UyNI1yMb7RZbY8w4QgwDbpvRdwavKphpul8zctj/Fzary8fp7tC4XpKVF
yCRiWapVluBCDhB8k8AAyiLOOCvxzfqvy9JGlhIJR31ugwRNqKpC qZBR6bXy8w4UwAA6whqppvtzkprB
z9DbLkLuOCvxOiEX59J1laRftdpitjB4n0IEy0yZD8zjWNbFQ3lrG6brWiL05CJfL6Tb8fI1yKo18fI1
G8Xvt9A7GMqU8fI18fI 18fIrW1==Ngr3LaAhOaRvGMlSQ+J05CAfl3J05 i4SLkDZQu/HlMlrW1ZGOk40
5dpbL6TuQ+cYziEBljyYLCRmljA7Qu/HlMlrW1ZGOk405dpbL6TuQ+cYziEBljyY (データはたくさんあります)後で、省略）
このうち、「?>」以降のデータは27KB（合計27316バイト）です。明らかに、これらのデータはクライアントに直接出力されず、サーバー上で特定の処理を受ける必要があります。この 27 KB データは、base64 エンコードに非常によく似ていますが、base64_decode を使用して直接デコードしても意味のある結果は得られません。

よく見てください。前の PHP コード部分に eval があります。それでは前回の記事の方法を参考にechoに変更してみましょう！

//1.php
$OOO0O0O00=__FILE__;$OOO000000=urldecode('%74%68%36%73%62%65%68%71%6c %61%34%63%6
f%5f%73%61%64%66%70%6e%72');$OO00O0000=26408;$OOO0000O0=$OOO000000{4}.$OOO000000
{9}.$OOO000000{3}.$OOO000000{5};$OOO0000O0.=$OOO000000{2}.$OOO000000{10}.$OOO000
000{13}.$OOO000000{16};$OOO0000O0 0 JE9PME9PMDA
wMD0kT09PMDAwMDAwezE3fS4kT09PMDAwMDAwezEyfS4kT09PMDAwMDAwezE4fS4kT09PMDAwMDAwezV
9LiRPT08wMDAwMDB7MTl9O2lmKCEwKSRPMDAwTzBPMDA9JE9PME9 PM DAwMCgkT09PME8wTzAwLCdyYic
pOyRPTzBPTzAwME89JE9PTzAwMDAwMHsxN30uJE9PTzAwMDAwMHsyMH0uJE9PTzAwMDAwMHs1fS4kT09
PMDAwMDAwezl9LiRPT08wMDAwMDB7MTZ9O RPTzBPTzAwTzA9JE9PTzAwMDAwMHsxNH0uJE9PTzAwMDA
wMHswfS4kT09PMDAwMDAwezIwfS4kT09PMDAwMDAwezB9LiRPT08wMDAwMDB7MjB9OyRPTzBPTzAwME8
oJE8wMDBPME8 KTskT08wME8wME8wPSgkT09PMDAwME8wKCRPTzBPTzAwTzAoJE9PME9PMDA
wTygkTzAwME8wTzAwLDkwOCksJ0kvTU5LQUNkVlJHUXlEV1VncTY4d3BRYXpMTzVsdG5tVEirMGJ2OXV
Ic nhGN1hTWTFFM2ZaaGlqYzRlMm9Kc1A9JywnQUJDREVGR0hJSktMTU5PUFFSU1RVVldYWVphYmNkZWZ
naGlqa2xtbm9wcXJzdHV2d3h5ejAxMjM0NTY3ODkrLycpKSk7ZX ZhbCgkT08 wME8wME8wKTs=')));re
turn;? >
/* 27316 バイトのエンコードされたデータ */
実行メソッドはまだ wget http://localhost/1.php -O1.txt であり、実行結果は次のとおりです。 🎜>
//1.txt
$OO0OO0000=$OOO000000{17}.$OOO000000{12}.$OOO000000{18}.$OOO000000{5}.$OOO000000
{19};if (!0)$O000O0O00=$OO0OO0000($ OOO0O0O00,'rb');$OO0OO000O=$OOO000000{17}.$OOO
000000{20}.$OOO000000{5}.$OOO000000{9}.$ OOO000000{16};$OO0OO00O0=$OOO000000{ 14}。1182);$OO0000O0=($OOO0000O0($OOOO00O0($OO0OO000O($O000O0O00,908),'I/MNKACdVRGQ P=','ABCDEFGHIJKLMNOPQRSTUVWX
YZabcdefghijklmnopqrstuvwxyz0123456789 +/')));eval($ OO00O00O0); >1.php のエコーを 1.txt の結果に置き換えて、次を取得します:

//1a.php
$OOO0O0O00=__FILE__;$OOO000000 =urldecode( '%74%68%36%73%62%65%68%71%6c%61%34%63%6
f%5f%73%61%64%66%70%6e%72 '); $OO00O0000=26408;$OOO0000O0=$OOO000000{4}.$OOO000000
{9}.$OOO000000{3}.$OOO000000{5};$OOO0000O0.=$OOO000000{2}.$OOO000000 {10} .$OOO000
000{13}.$OOO000000{16};$OOO0000O0.=$OOO0000O0{3}.$OOO000000{11}.$OOO000000{12}.$
OOO0000O0{7} .$OOO000000 {5};$O0O0000O0='OOO0000O0';$OOOO0000=$OOO000000{17}.$OOO
000000{12}.$OOO000000{18}.$OOO000000{5}.$OOO000000{19} ;if( !0)$O000O0O00=$OO0OO00
00($OOO0O0O00,'rb');$OO0OO000O=$OOO000000{17}.$OOO000000{20}.$OOO000000{5}.$OOO0
00000{9 }.$OOO000000{16};$OO0OO00O0=$OOO000000{14}.$OOO000000{0}.$OOO000000{20}.$
OOO000000{0}.$OOO000000{20};$OOOO000O( $O000O0O00, 1182);$OO00O00O0=($OOO0000O0($
OO0OO00O0($OOOO000O($O000O0O00,908),'I/MNKACdVRGQyDWUgq68wpkazLO5ltnmTB+0bv9uHr
xF7 XSY1E3fZhijc4 e2oJsP=','ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz01
23456789+/' )) );eval($OO00O00O0);return;?>
/* 27316 バイトのエンコードされたデータ */
eval が再び表示されたら、それを echo に変更します。残念ながら、これでは正しい結果が得られません。その理由は次のとおりです。

ファイルの最後には 27KB のデータがあり、これにはエンコードされたプログラム コードが含まれている必要があります。
の先頭にあるデコードスクリプトは、__FILE__ 変数から現在実行されているファイル名を取得し、27KB のデータ内の特定の位置 (先頭または途中の可能性があります) を見つけて、そのデータに含まれるプログラムをデコードして実行します。 。
0.php から 1a.php への変換の過程で、先頭のデコード スクリプトの長さが変更され、正しい位置を特定できなくなりました。
1a.php にはすでに 3 つの数字 (26408、1182、908) が表示されています。ただし、これらの数値が 27 KB データのどこにデコード スクリプトを配置するかを知る方法はありません。

旧道はもう使えません!次に、このデコード スクリプトのフローを分析する必要があります。まずコードを整理しましょう:

$OOO0O0O00=__FILE__
$OOO000000=urldecode('%74%68%36%73%62%65%68%71 % 6c%61%34%63%6f%5f%73%61%64%66%70%
6e%72');
$OOO0000O0=$OOO000000{4 .$OOO000000{9}.$OOO000000{3}.$OOO000000{5};
$OOO0000O0.=$OOO000000{2}.$OOO000000{10}.$OOO000000{13}.$OOO000000{16} ;
$OOO0000O0.=$OOO0000O0{3}.$OOO000000{11}.$OOO000000{12}.$OOO0000O0{7}.$OOO000000
{5}; ;
$OO0OO0000=$OOO000000{17}.$OOO000000{12}.$OOO000000{18}.$OOO000000{5}.$OOO000000
if(!0)$O000O0O00 = $OOO00000($OOO0O0O00,'rb');
$OOOO000O=$OOO000000{17}.$OOO000000{20}.$OOO000000{5}.$OOO000000{9}.$OOO000000{
16} ;
$OO0OO00O0=$OOO000000{0}.$OOO000000{20}.$OOO000000{0}.$OOO00000{
$OO0OO000O($O000O0O00,1182) ) ;
$OO00O00O0=($OOO0000O0($OOOO00O0($OO0OO000O($O000O0O00,908),'I/MNKACdVRGQyDWUgq P=','ABCDEFGHIJKLMNOPQRSTUVWXYZabcd
efghijklmnopqrstuvwxy z0123456789+/')));
eval($) OO00O00O0);
return;
?>
/* 27316 バイトのエンコードされたデータ */
次に、次のように、デコード スクリプト内の各変数の値を計算します。プロセス。例: $OOO000000=urldecode('%74%68%36%73%62%65%68%71%6c%61%34%63%6f%5f%73%61%64%66%70%6e%72 ' ); の後に die($OOO000000); を追加すると、この変数の値が 'th6sbehqla4co_sadfpnr' であることがわかります。

デコードスクリプトの解析結果は次のとおりです。

//1c.php
$OOO0O0O00=__FILE__;

//$ OOO000000 =urldecode('%74%68%36%73%62%65%68%71%6c%61%34%63%6f%5f%73%61%64%66%7
0%6e% 72 ');

$OO00O0000=26408;

//$OOO000000{4}.$OOO000000{9}.$OO O0000 00{ 3}.$OOO000000{5};
//$OOO0000O0.=$OOO000000{2}.$OOO000000{13}.$OOO000000{16}; OOO0000O0.$OOO00000{11}.$OOO000000{12}.$OOO0000O0{7}.$OOO0000
$OOO0000O0='base64_decode';
$O0O0000O0='OOO0000O0';

//$OOOO0000=$OOO000000{17}.$OOO000000{12}.$OOO000000{18}.$OOO000000{5}.$OOO0000
00{ 19};
$OO0OO0000='fopen';

//if(!0)$O000O0O00=$OO0OO0000($OOO0O0O00,'rb'); $OOO0O0O00 ,'rb');

//$OOOO000O=$OOO000000{17}.$OOO000000{20}.$OOO000000{5}.$OOO000000{9}.$OOO00000
0{ 16} ;
$OOOO000O='恐怖';

//$OOOO0000=$OOO000000{0}.$OOO000000{20}.$OOO000000
0{20};
$OOOO00O0='strtr';

//$OOOO000O($O000O0O00,1182);
🎜> /*$OO00O00O0=($OOO0000O0(
$OOOO00O0(
$OOOO000O($O000O0O00,908),
'I/MNKACdVRGQyDWUgq68wpkazLO5ltnmTB+0bv9uHrxF7XSY1E3fZhijc4e2oJsP=',
'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/'
)
)
);*/
$OO00O00O0=(base64_decode(
strtr(
fread( $O000O0O00,908)、
'I/MNKACdVRGQyDWUgq68wpkazLO5ltnmTB+0bv9uHrxF7XSY1E3fZhijc4e2oJsP='、
'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz01 23456789+/'
)
)
);

eval($OO00O00O0) );
return;
?>
/* 27316 バイトのエンコードされたデータ */
ファイル操作を伴うものは次の文です:

$OOO0O0O00=__FILE__;//現在のファイル名
$O000O0O00=fopen($OOO0O0O00,'rb');// ファイルを開きます
fread($O000O0O00,1182);// 1182 バイトをスキップします
$OO00O00O0=(base64_decode (
strtr(
fread($O000O0O00,908),
'I/MNKACdVRGQyDWUgq68wpkazLO5ltnmTB+0bv9uHrxF7XSY1E3fZhijc4e2oJsP=',
'ABCDEFGHIJKLMNOPQRSTUVWXYZ abcdefghijklmnopqrstuvwxyz0123456789+/'
)
)
);/ /908 バイトを読み取り、コード表に従って文字を置き換え、base64 デコード
eval($OO00O00O0); //デコードされたコードを実行
1a.php の eval を echo に置き換えます。ここには1182バイトをスキップするように書かれているからです。 1182 バイトのスキップは元のファイルの場合であり、変更後にファイル サイズが変更された後、スキップされるバイト数は必ずしも 1182 バイトではありません。ここで、元のファイルから 1182 バイトをスキップした後の 908 バイトをコピーし、fread($O000O0O00,908) を置き換えてから、eval を echo に置き換えます。

しかし、入手したファイルが他人によって改変されているためか、1182バイト飛ばしてコピーしたデータは正しくデコードできません。 27KB データの最初の 908 バイトをコピーしてみたところ、正しい結果が得られました。

//2.php
$A='tiBr5CwHGMBrljDvtMTb6AqwwAJ8qpRkqpRmpbA6wh7uwZp6pbp6aZ4/8wwua6brR+zHVkp3Lktr
GMlHGMcxaMcrUiqHzkv Sz k4lQ9DY56voGMBlQ+rlaMcrUiBFyuDH5jplQ9DY56voGMBlQ+rlaMcrUiEY
ziA7OCJftMbuQMqVpAqgahDAwvLAwvJkgpR8k3t8qpRkqpRm8bADq6ttG6brmd1HGCvflipZGMqmwZp6
pbp6 k3tVpAqgaZBUwhgua6brR+zHVkp3LktrGMlHGMcxaMcrUiqHzkvSzk4lQ9DY56voGMBlQ +rlaMcr
UIBFUDH5JPLQ9DY56VOGMBLQ+RLAMCRUIEYZIA7OCJFTMBUQMWZP6K3TVPAQGAZBUWHGUA6BR
G6VBOKWHROMFU81P7TLCBBOK4B5++ 405iztoc73libyt6405iij1o2ghe3eyfazesygstunh2R 7
5idb5cbylj6bh2uyzug4s7q3esy Ebziwh rhjmqbvyqpjmr31+R3VSRKJU8F/Uyko1ymc+R37GMQU8ZO18FIHRKJUYKJUYN/Uymtb8zo18ZO1
YN/Ugmquyni18F/Uy ni7RK Juyn/Uyni1yMB7RZBY8W4QGWDBPVRDWAVKPUL8ZCTJ/FZARY8FP7TC4X
PKVFYCRIWAPVLUBCDHB8AayiloCVXZFQLHIHIJRNQZBR6B Xy8w4uwaa6whqppvtz
KPRBZ9DBLKLUOCVXOIEX59J1LARFTDPITJB4N0YZD8ZD8ZJWNBFQ3LRG6BRWIL05CJFL6TB8FI1YKO11
8fI1G8Xvt9A7GMqU8fI18fI18fIrW1="; v9uHrxF7XSY1E3fZhijc4e2oJ sP=',
'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/'
)
)
);

echo($OO00O00O0);
?>
//2.txt
while(( (isset($HTTP_SERVER_VARS['SERVER_NAME']))&&(!eregi('((.*.)?dhainan.com)
|((.*\.)?hk2shou.com)|((.* \.)?localhost)',$HTTP_SERVER_VARS['SERVER_NAME'])
))||((isset($_SERVER) ['HTTP_HOST']))&&(!eregi('((.*.)?dhainan .com)|((.*\.)?hk
2shou.com)|((.*\.)? localhost)',$_SERVER['HTTP_HOST']))))die('アクセスするにはドメイン名 Dhainan.co
m hk2shou.com を使用してください。localhost: localhost を使用してください。プログラムを購入するには、QQ: 415204');$OO0000O0=str_replace('__FIL
E__',"'".$OOO0O0O00."'",($OOO0000O0($OOOO00O0($OO0OO000O($O000O0O00, $OO00O0000)
,'I/MNKACdVRGQyDWUgq68wpkazLO5ltnmTB+0bv9uHrxF7XSY1E3fZhijc4e2oJsP=','ABCDEFGHIJ
KLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456 789+/'))) ;fclose($O000O0O00);e
val($OO00O00O0);
eval が再び表示されます。 、まだ終わっていません。 2.php のエコー部分を 2.txt の内容に置き換えてから、コードを整理して変数を分析します。

//2a.php
$OOO0O0O00=__FILE__ ;

//$OOO000000=urldecode('%74%68%36%73%62%65%68%71%6c%61%34%63%6f%5f%73%61%64% 66% 7
0%6e%72');
$OOO000000='th6sbehqla4co_sadfpnr';

$OOO000000{9}.$OOO000000{3}.$OOO000000 5};
//$OOO0000O0.=$OOO000000{2}.$OOO000000{10}.$OOO000000{13}.$OOO000000{16} ; .$OOO000000{11}.$OOO000000{12}.$OOO0000O0{7}.$OOO0000
00{5};
$OOO0000O0= 'base64_decode'; ';

//$OOOO0000=$OOO000000{17}.$OOO000000{12}.$OOO000000{5 }.$OOO0000
00
$OOOO0000='fopen';

//if(!0)$O000O0O00=$OO0OO0000($OOO0O0O00,'rb');

//$OO0OO000O=$OOO000000{17}.$OOO000000{5}.$OOO000000{9}. $OOO00000
$OOOO000O ='恐怖';

$OO0OO00O0=$OOO000000{14}.$OOO000000{0}.$OOO000000{20}.$OOO000000{0}.$OOO000000{
20};
$OO0OO00O0='strtr';

//$OO0OO000O($O000O0O00,1182);
fread($O000O0O00,1182);

/*$OO00O00O0=($OOO0000O0(
$OO0OO00O0(
$OO0OO000O($O000O0O00,908),
'I/MNKACdVRGQyDWUgq68wpkazLO5ltnmTB+0bv9uHr xF7XSY1E3fZhijc4e2oJsP=',
'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+ /'
)
)
);*/
$OO00O00O0=(base64_decode(
strtr(
fread($O000O0O00,908),
'I/MNKACdVRGQyDWUgq68wpkazLO5ltnmTB+ 0bv9uHrxF7XSY1E3fZhijc4e2oJsP=',
'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/'
)
)
);




/*
while (
(
(isset($HTTP_SERVER_VARS['SERVER_NAME']))
&&
(! eregi('((.*.)?dhainan.com)|((.*\.)?hk2shou.com)|((.*\.)?localhost)'
,$HTTP_SERVER_VARS['SERVER_NAME'] ))
)
||
(
(isset($_SERVER['HTTP_HOST']))
&&
(!eregi('((.*.)?dhainan .com)|((.*\.)?hk2shou.com)|((.*\.)?localhost)'
,$_SERVER['HTTP_HOST']))
)
) 死ぬ('ドメイン名 dhainan.com hk2shou.com を使用します、本地使用:localhost。プログラム購入システム QQ:415204');
*/


/*
$OO00O00O0=str_replace(
'__FILE__',
"".$OOO0O0O00."'",
($ OOO0000O0(
$OO0OO00O0(
$OO0OO000O($O000O0O00,$OO00O0000),
'I/MNKACdVRGQyDWUgq68wpkazLO5ltnmTB+0bv9uHrxF7XSY1E3fZhijc4e2oJsP =',
'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/'
)
)
)
);*/
$OO00O00O0=str_replace(
'__FILE__',
"'".$OOO0O0O00."'",
(base64_decode(
strtr(
fread($O000O0O00,26408),
'I/MNKACdVRGQyDWUgq68wpkazLO5ltnmTB+0bv9uHrxF7XSY1E3fZhijc4e2oJsP=',
'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklm nopqrstuvwxyz0123456789+/'
)
)
)
);
fclose($O000O0O00);
eval($OO00O00O0);
?>
セグメント判断ドメイン名の代コードが登録されています。 有用なのは最後のセグメントです:

# 前にファイルを開いて、27 KB のデータ領域に配置し、908 文字を取得しました
$OO00O00O0=str_replace (
'__FILE__',
"'".$OOO0O0O00."'",
(base64_decode(
strtr(
fread($O000O0O00,26408),
'I/ MNKACdVRGQyDWUgq68wpkazLO5ltnmTB+0bv9uHrxF7XSY1E3fZhijc4e2oJsP=',
'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/'
)
)
)
);//读取26408字节，基代码表替字符，base64解码，握__FILE_ _代替として真正の現在の文件名
fclose($O000O0O00);//关闭文件
eval($OO00O00O0);//実行代
処理方法就很明显了，原始文件の 27KB データベース前にデコードしたコードも削除する必要がありますが、$OOO0O0O00=__FILE__ です。これはそのままです。

//3.php
$OOO0O0O00=__FILE__;

$A='Ngr3LaAhOaRvGMlSQ+J05CAfl3J05i4SLkDZQu/HlMlrW1ZGOk405dpbL6TuQ+cYziEBljyYLCRm
ljA7Qu/HlMlrW1ZGOk405dpbL6TuQ+cYziEBlj yYziJSL9vuQu/HlMlrW1ZGOk405dpbL6TuQ+cYziEB
ljyYziEBljySlCB1R3b2Ngrr59D7tkqvGMlSQ+J05CAfl3Jhlip3Qu/HlMlrW1ZGOk405dpbL6TuQ+cY
ziEBl jyY8kpXz9p38CpiLk1SlCB1R3b2Ngrr59D7tkqvGMlSQ+J05CAfl3JEaiLh59DZOkJSl341OdIu
G87DM9vSziEhLCwHR3cSQiD7zaDfQjAr59LYLupSQu/ HlMlrW1ZGOk405dpbL6TuQ+cYziEBljyYziBv
ziXvLCv1Qu/HlMlrW1ZGRCEr597JLCRmziJS59p0tMTrW1ZGRCpXlCv3L8hSLalT5avflkEEtkp3n6Tr
W1ZGRARvtdp35 bvgUkDHLkDFLkqrlMTrW1ZGOkzHRd/hz9ErzhJ3k3tBLCqSLatfaiJFRhZrNgr2Ngr1
l9vStCp3l9J3GMtW5jqUlCpSghAR59LYR31uR31EG87DMuZDM+q05CAflivbU6Br5ugrRAJdqpq5Ri D7
zaDfOkgua87DM+qxn9Lv59EvOkLYl9ZJR3l2NgHblirmziEBljDrLNhBluRBn6TuW8zuQMl4D3l7Rfbc
R31uW8buQMleeyNIuQMleyNKuQMleyNVuQMleynyuQMleyNguQMl EyNwuQMleeyNzuQMleyNluQMleyNTu
QMleyNbuQMley8IuQMlEy8KuQMley8VuQMlEy8yuQMlEy8guQMlEy8wuQMlEy8zuQMl4R31uy8yZR31u
y8yhR31uy8y iR31uy8yjR31uy8ycR31uy8y4R31uy8gfR31uy8ghR31uy8giR31uy8gjR31uy8gcR31u
y8g4R31uy8w1R31uy8wfR31uy8wZR31uy8wiR31uy8wjR31uy8IuQ MlED8TuQMl（裏面にも大量のデータがあり、略）';


$OO00O00O0=str_replace(
'__FILE__',
"'".$OOO0O0O00."'",
(base64_decode(
strtr(
$ A、
'I/MNKACdVRGQyDWUgq68wpkazLO5ltnmTB+0bv9uHrxF7XSY1E3fZhijc4e2oJsP='、
'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/'
)
)
)
);
エコー($OO00O00O0);
?>
また次 wget http://localhost/3.php -O3.txt ，获得最终结果！

//3.txt

require('../class/connect .php');
include('../class/db_sql.php');
include('../class/config.php');
include('../class/class.php');
include('../class/user.php');
include('../class/MemberLevel.php');
include('../class/q_functions.php');
include('../class/qinfofun.php');
include('../class/checkedip.php');
$link=db_connect();
$empire=new mysqlquery();
$ReturnIP=checkedip();
if($public_r['addnews_ok'])
{
printerror('NotOpenCQInfo','',1);
}
$classid=(int)$_GET['classid'];
$jzfenleiform='';
$sj_classid=array('96','97','98','99','100','101','102','103','104','105','106 ',
'107','108','109','110','111','112','113','114','115','116','9',' 134','135','136
','137','138','139','143','145','146','147','148','149', '150'、'153'、'154'、'156'、
'157'、'10'、'158'、'159'、'160'、'161'、'162'、'163' ,'164','165','166','167','168','16
9','170','171','11','172','173',' 174'、'175'、'176'、'179'、'180'、'181'、'182'、'183'、
'184'、'185'、'186'、'189'、 '190'、'191');
in_array($classid,$sj_classid)?$jzfenleiform='/sjpp.html':$jzfenleiform='/post.h
tml';
$cate='';
$job_array=array('65','66','67','68','69','70','71','72','73','74','75 ','80','81
','82','117','119','120​​','121','122','126','133');
$sale_array=array('22','23','24','25','26','27','28','29','30','31','32 ','33','3
6','37','38');
$car_array=array('83','84');
$marry_array=array('42','43','44');
if (in_array($classid,$job_array))
{
$cate='< ;td>type="radio" value="招聘" Checked="checked">招聘e="cate" id="cate1" type="radio" value="求职">要求职tr>

* 学历：strong>
無制限n> ;高中/中专大专e="本科">本科硕士以上   <
span class="redn">* 薪资： 元/月   
;* 专业  
例:艺术设计
';
}
elseif (in_array($classid,$sale_array))
{
$cate='< td>value="出售" Checked="checked">出售求购d="cate2" type="radio" value="交换">交换 tr>
* 成色：strong>
全
新< ;option value="99成新">99成新95成新ption value="9成新">9成新8成新7成新6成以下   class="redn"> * 价格： 元
';
}
elseif (in_array($classid,$car_array))
{
$cate='type= "radio" value="販売中" Checked="チェック済み">販売中<名前を入力
e="cate" id="cate1" タイプ= "radio" value="購入したい">購入したいtr>
*カラー:strong> ;
完全
新規< ;option value="99% new">99% new95% newption value="90% new " >90% 新規80% 新規70% 新規< /option> ;60% 以下 価格:<入力名=
「jiage」タイプ="text" size=4 id="jiage" value="" onKeyUp="value=value.replace(/D+
/g,'')"> 元
< ;/ tr>';
}
elseif (in_array($classid,$marry_array))
{
$cate='*私の性別: name="mysex" type="radio" id="mysex" value="男性" selected="checked">abel for="mysex">男性女性 年齢:="myage"> 年 身長: = "3"> 世帯登録:Confidential>北京">北京天津
河北山西省内モンゴルvalue="遼寧">遼寧吉林黒竜江省tion>上海浙江安徽福建省on value="江西">江西河南< ;/op
tion>湖北省湖南省広西チワン族自治区海南on value="重慶">重慶四川貴州tion>雲南< ;/option>チベット陝西省甘粛省青海< ;opti
on value="寧夏">寧夏新疆香港、マカオ、台湾<
option>外国< ;option value="機密">機密<オプション
value="大学">大学学部修士以上オプション< ;/select>

* trong>相手は次のように要求しました:
e="男性">男性
e="男性"> ;/label> "女性">女性 :="制限なし">制限なし16～2
2 歳 20 ～ 30 歳31 ～ 40 歳option>40-unlimited< ; /option> 高さ:CM165-175CM>175-185CM< option>185CM 以上 世帯登録:lect name="huji" id="huji"> < ;option value="制限なし">制限なし北京オプション>天津 河北="山西">山西内モンゴル< 遼寧
option value="吉林">吉林黒龍江< option value="上海">
上海江蘇浙江alue="安徽">安徽福建> 山東河南
湖北 option value="湖南">湖南広東alue="広西">広西海南重慶> 四川<オプション値="貴州">貴州
雲南チベット陝西省alue="甘粛">甘粛< /option>青海寧夏>新疆香港、マカオ、台湾< /option>外国人 教育 ：制限なし
;大学on value="学部">学部修士以上
;
$house='';
$ chu_array=array('12','13','14',' 17'、'18'、'19');$mai_array=array('15','16');
if (in_array($classid,$chu_array))
{
$house=' 元/月';
}
elseif (in_array($classid,$mai_array))
{
$house=' 万元';
}
$mid=(int)$_GET['mid'];
if(empty($classid)||empty($mid))
{
printerror('EmptyQinfoCid','',1);
}
$enews=$_GET['enews'];
if(empty($enews))
{
$enews='MAddInfo';
}
$muserid=(int)getcvar('mluserid');
$guserid=(int)getcvar('mluserid');
$musername=getcvar('mlusername');
$mrnd=getcvar('mlrnd');
$showkey='';
$r['newstext']='';
if($muserid)
{
$memberinfor=$empire->fetch1('select u.*,ui.* from '.$user_tablename." u LEFT JO
IN {$dbtbpre}enewsmemberadd ui ON u.{$user_userid}=ui.userid where u.{$user_user
id}='$muserid' limit 1");
}
if($enews=='MAddInfo')
{
$cr=DoQCheckAddLevel($classid,$muserid,$musername,$mrnd,0,1);
$mr=$empire->fetch1("select qenter,qmname,tobrf from {$dbtbpre}enewsmod where mi
d='$cr[modid]'");
if(empty($mr['qenter']))
{
printerror('NotOpenCQInfo','history.go(-1)',1);
}
$ecmsfirstpost=1;
$word='您当前选择的分类是：';
$rechangeclass=" [更改分类
]";
if($cr['qaddshowkey'])
{
$showkey="
*span> 验证码：
"../ShowKey?ecms\">";
}
$imgwidth=0;
$imgheight=0;
if(strstr($mr['qenter'],'morepic<'))
{
$morepicnum=3;
$morepicpath="