xx599 发表于 2021-3-26 11:10

php木马后门

本人是学习不足,拿到一个源码,但是发现有webshell后门,至于是哪些代码,辨别不出来,烦请哪位大神指点一下。由于代码无法发布在帖子里,还烦请下载后分析一下,然后私信或者直接在帖子里回复我,谢谢了


下载:https://wwa.lanzouj.com/iTtK9nbjdja 密码:f2p0

随便去取 发表于 2021-3-26 12:49

wasdzjh 发表于 2021-3-31 19:52

本帖最后由 wasdzjh 于 2021-3-31 20:00 编辑

本人也是菜鸟,经过分析,帮你解密出了一些,看有没有帮助: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   这个解密出一个网站我贴出代码
<title>404 Not Found</title></head>
<body bgcolor="white">
<center><h1>404 Not Found</h1></center>
<hr>
<center>
<atarget=_blank style='color:#000;text-decoration: none'>UCMS</a> |
<atarget=_blank style='color:#000;text-decoration: none'>HELP</a>
</center>
</body>
</html>
<!-- a padding to disable MSIE and Chrome friendly error page -->
<!-- a padding to disable MSIE and Chrome friendly error page -->
<!-- a padding to disable MSIE and Chrome friendly error page --
同样也找到了其他的你看看 我都贴出来:PGEgaHJlZj0iaHR0cDovL3V1dS5sYSIgdGFyZ2V0PSJfYmxhbmsiPlVDTVM8L2E解密出:<a target="_blank">UCMS</a

WC1Qb3dlcmVkLUJ5OiBVQ01T解密出:X-Powered-By: UCMS这个应该是个马甲。 我还是建议别打开。 这些代码都是加密的,防止我们看到。只是建议别打开。如果你好奇,我也没办法了。只能帮你这么多了。

geciwang 发表于 2021-3-26 11:22

我们也想看看是什么后门。

imyxuan 发表于 2021-3-26 14:14

能力有限,后门没有发现,不过代码里面有个简单的base64加密的内容,有可能会误报

xx599 发表于 2021-3-28 14:12

imyxuan 发表于 2021-3-26 14:14
能力有限,后门没有发现,不过代码里面有个简单的base64加密的内容,有可能会误报

感谢大神的提示,经过base64解密后,没有发现恶意链接,这样我就放心了

xx599 发表于 2021-3-28 14:14

随便去取 发表于 2021-3-26 12:49
给你一个思路,既然是后门,那肯定需要给某个网址发送后门账号密码的,所以你就去哪些你不认识的网址请求就 ...

谢谢你的思路,学习了。

xx599 发表于 2021-3-28 14:15

geciwang 发表于 2021-3-26 11:22
我们也想看看是什么后门。

经过大神的提示和分析,应该是个误报{:1_896:}

wasdzjh 发表于 2021-3-31 20:32

补充一下。这个是主要分析。

kjldk520 发表于 2021-4-2 10:25

有的是一句话木马,用菜刀链接的
页: [1] 2
查看完整版本: php木马后门