Расшифруйте base64 в массиве, чтобы выяснить намерения хакеров - PullRequest
Новая
       22

Расшифруйте base64 в массиве, чтобы выяснить намерения хакеров

0 голосов
/ 06 декабря 2011

Сайт клиента WordPress недавно был взломан из-за уязвимости темы, и сейчас я нахожусь в процессе очистки и исправления. Я нашел guncompress (base64_decoded code. Когда я его декодировал, в массиве было больше base64: 

$GLOBALS['_1780441916_']=Array(base64_decode('' .'ZXJ' .'yb3Jfc' .'mVwb3J' .'0a' .'W5'.'n'),base64_decode('Y3VybF9pb' .'ml0'),base64_decode('c

Как мне декодировать base64 в массив на моем локальном хосте?

1 Ответ

1 голос
/ 29 марта 2013

Попробуйте использовать evalhook.so.Вам нужно:

  • PHP> = 5.2
  • php5-devel
  • PHP Zend Optimizer

загрузить исходный код с http://php -security.org / downloads / evalhook-0.1.tar.gz

, затем распакуйте и установите его 

tar xvfz evalhook-0.1.tar.gz
cd evalhook
phpize 
./configure
make
sudo make install

, и вы сможете использовать его с консоли.

php -d extension=evalhook.so encoded_script.php

где encoded_script.php - ваш закодированный скрипт.каждый раз, когда он спрашивает вас 

Do you want to allow execution? [y/N]

введите Y, если в вашем коде после выполнения есть какой-то "base64_decode".Затем, когда вы получите что-то подобное 

$GLOBALS['_889997777_'] = Array(

... 

$GLOBALS['_224568216_'][21]('Xr' . 'x8f7g=')
);

Просто запустите после этого var_export($GLOBALS['_889997777_']);die; и вы получите имя всех функций, после чего вы сможете заменить его.Вот ссылка, которая может автоматизировать это http://pastebin.com/kBj4iqWh

...