PHP Webサイトにハングするトロイの木馬の修復方法まとめ_PHPチュートリアル

トロイの木馬にリンクされている PHP Web サイトを修復することは二次的に重要ですが、最も重要なことは、修復後に Web サイトにトロイの木馬が挿入されるのを防ぐ方法です。次に、PHP Web サイトの修復についてまとめます。トロイの木馬にリンクされており、Web サイトが再度感染するのを防ぎます。 トロイの木馬をハングアップする方法。

Linux では、コマンドを使用してトロイの木馬ファイルを検索できます。コードのインストール ディレクトリに移動し、次のコマンドを実行します。

コードは次のとおりですコードをコピー

100 件近くの結果が見つかりました。このリストにはすべてトロイの木馬が含まれているため、ファイルを 1 つずつ開いて、トロイの木馬であるかどうかを確認する必要があります。

最終的に、さまざまなディレクトリに保存されている 10 個のトロイの木馬ファイルが見つかりました。これらはすべて PHP WebShell であり、完全に機能し、base64 でエンコードされています

Windows でディレクトリを探している場合は、Windows ファイル検索を使用して、eval または最近変更されたファイルを検索できます。dedecms の場合は、最新の dedecms 脆弱性を確認して修正する必要があります。

これは PHP トロイの木馬検索ツールです。サイトのルート ディレクトリに直接配置してください

find ./ -iname "*.php" xargs grep -H -n "eval(base64_decode")

コードは次のとおりですコードをコピー

}

その他

{

$dir = isset($_POST['パス'])?$_POST['パス']:MYPATH;

$dir = substr($dir,-1)!="/"?$dir."/":$dir;

?>

<表の幅="100%%" border="0" cellpacing="0" cellpadding="0">

/**************PHP Web トロイの木馬スキャナー***********************/ /* [+] 作者: alibaba */ /* [+] QQ: 1499281192 * www.bKjia.c0m/ /* [+] MSN: weeming21@hotmail.com */ /* [+] 初出: t00ls.net、転載の際はt00lsと明記してください */ /* [+] バージョン: v1.0 */ /* [+] 機能: Web バージョン php トロイの木馬スキャン ツール*/ /* [+] 注: スキャンされたファイルは必ずしもバックドアであるとは限りません。 */ /* オリジナル文書をご自身で判断、検討、比較してください。 */ /* スキャンされたファイルがバックドアかどうかわからない場合は、*/ /* 分析のためにこのファイルを私に送っていただいても構いません。 */ /************************************************* *****/ ob_start(); set_time_limit(0); $username = "t00ls" //ユーザー名を設定します ; $password = "t00ls" //パスワードを設定します ; $md5 = md5(md5($username).md5($password)); $version = "PHP Web トロイの木馬スキャナー v1.0"; PHP Web トロイの木馬スキャナー $realpath = realpath('./'); $selfpath = $_SERVER['PHP_SELF']; $selfpath = substr($selfpath, 0, strrpos($selfpath,'/')); define('REALPATH', str_replace('//','/',str_replace('','/',substr($realpath, 0, strlen($realpath) - strlen($selfpath))))); define('MYFILE', ベース名(__FILE__)); define('MYPATH', str_replace('', '/', dirname(__FILE__)).'/'); define('MYFULLPATH', str_replace('', '/', (__FILE__))); define('HOST', "http://".$_SERVER['HTTP_HOST']); ?> <スタイル> 本文{マージン:0px;} body,td{font: 12px Arial,Tahoma;line-height: 16px;} {color: #00f;text-decoration:underline;} a:hover{color: #f00;text-decoration:none;} .alt1 td{border-top:1px ソリッド #fff;border-bottom:1px ソリッド #ddd;background:#f1f1f1;padding:5px 10px 5px 5px;} .alt2 td{border-top:1px ソリッド #fff;border-bottom:1px ソリッド #ddd;background:#f9f9f9;padding:5px 10px 5px 5px;} .focus td{border-top:1px ソリッド #fff;border-bottom:1px ソリッド #ddd;background:#ffffaa;padding:5px 10px 5px 5px;} .head td{border-top:1px ソリッド #fff;border-bottom:1px ソリッド #ddd;background:#e9e9e9;padding:5px 10px 5px 5px;font-weight:bold;} .head td span{font-weight:normal;} if(!(isset($_COOKIE['t00ls']) && $_COOKIE['t00ls'] == $md5) && !(isset($_POST['ユーザー名']) && isset($_POST['パスワード' ]) && (md5(md5($_POST['ユーザー名']).md5($_POST['パスワード']))==$md5))) { echo ' ユーザー名: ;/フォーム>'; } elseif(isset($_POST['ユーザー名']) && isset($_POST['パスワード']) && (md5(md5($_POST['ユーザー名']).md5($_POST['パスワード'])) ==$md5)) { setcookie("t00ls", $md5, time()+60*60*24*365,"/"); echo "ログイン成功!"; header( 'リフレッシュ: 1; url='.MYFILE.'?action=scan' ); 終了(); } その他 { setcookie("t00ls", $md5, time()+60*60*24*365,"/"); $setting = getSetting(); $action = isset($_GET['action'])?$_GET['action']:""; if($action=="ログアウト") { setcookie ("t00ls", "", time() - 3600); Header("場所: ".MYFILE); 終了(); } if($action=="ダウンロード" && isset($_GET['file']) && トリム($_GET['file'])!="") { $file = $_GET['ファイル']; ob_clean(); if (@file_exists($file)) { header("Content-type: application/octet-stream"); header("Content-Disposition: filename="".basename($file)."""); echo file_get_contents($file); } 終了(); } ?> $version"?> 扫描 | 設定 | ログイン if($action=="設定") { if(isset($_POST['btnsetting'])) { $Ssetting = array(); $Ssetting['user']=isset($_POST['checkuser'])?$_POST['checkuser']:"php | php? | phtml"; $Ssetting['all']=isset($_POST['checkall'])&&$_POST['checkall']=="on"?1:0; $Ssetting['hta']=isset($_POST['checkhta'])&&$_POST['checkhta']=="on"?1:0; setcookie("t00ls_s", Base64_encode(serialize($Ssetting)), time()+60*60*24*365,"/"); echo "設置完了！"; header( '更新: 1; url='.MYFILE.'?action=setting' ); 終了(); } ?> 扫描設定 <表幅="100%" ボーダー="0" セルスペース="0" セルパディング="0">
文件後缀:
すべての文書	>< ;/td>
設置文件	>< ;/td>
扫描路径:

if(isset($_POST['btnScan']))

{

$start=mktime();

$is_user = array();

$is_ext = "";

$list = "";

if(trim($setting['user'])!="")

{

$is_user = explode("|",$setting['user']);

if(count($is_user)>0)

{

foreach($is_user as $key=>$value)

$is_user[$key]=trim(str_replace("?","(.)",$value));

$is_ext = "(.".implode("($|.))|(.",$is_user)."($|.))";

}

}

if($setting['hta']==1)

{

$is_hta=1;

$is_ext = strlen($is_ext)>0?$is_ext."|":$is_ext;

$is_ext.="(^.htaccess$)";

}

if($setting['all']==1 || (strlen($is_ext)==0 && $setting['hta']==0))

{

$is_ext="(.+)";

}

 

$php_code = getCode();

if(!is_readable($dir))

$dir = MYPATH;

$count=$scanned=0;

scan($dir,$is_ext);

$end=mktime();

$spent = ($end - $start);

?>

扫描: 文件| 发现: 可疑文件| 耗时: 秒

<表幅="100%" ボーダー="0" セルスペース="0" セルパディング="0">

いいえ

文

更新時間

原因

機能

アニメーション

}

}

}

ob_flush();

?>

関数スキャン($path = '.',$is_ext){

グローバル $php_code,$count,$scanned,$list;

$ignore = array('.', '..' );

$replace=array(" ","n","r","t");

$dh = @opendir( $path );

while(false!==($file=readdir($dh))){

if( !in_array( $file, $ignore ) ){

if( is_dir( "$path$file" ) ){

scan("$path$file/",$is_ext);

} 他 {

$current = $path.$file;

if(MYFULLPATH==$current) 続行;

if(!preg_match("/$is_ext/i",$file)) 続行;

if(is_readable($current))

{

$スキャン++;

$content=file_get_contents($current);

$content= str_replace($replace,"",$content);

foreach($php_code as $key => $value)

{

if(preg_match("/$value/i",$content))

{

$count++;

$j = $count % 2 + 1;

$filetime = date('Y-m-d H:i:s',filemtime($current));

$reason =explode("->",$key);

$url = str_replace(REALPATH,HOST,$current);

preg_match("/$value/i",$content,$arr);

$list.="

$count

$current

$ファイル時間

$reason[0]

$reason[1]

ダウンロード

";

//エコー $key 。 「-」。 $パス 。 $file ."(" . $arr[0] . ")" ."
";

// $path をエコーし​​ます。 $file ."
";

休憩;

}

}

}

}

}

}

closedir( $dh );

}

関数getSetting()

{

$Ssetting = array();

if(isset($_COOKIE['t00ls_s']))

{

$Ssetting = unserialize(base64_decode($_COOKIE['t00ls_s']));

$Ssetting['user']=isset($Ssetting['user'])?$Ssetting['user']:"php | php? | phtml | shtml";

$Ssetting['all']=isset($Ssetting['all'])?intval($Ssetting['all']):0;

$Ssetting['hta']=isset($Ssetting['hta'])?intval($Ssetting['hta']):1;

}

その他

{

$Ssetting['user']="php | php? | phtml | shtml";

$Ssetting['all']=0;

$Ssetting['hta']=1;

setcookie("t00ls_s", Base64_encode(serialize($Ssetting)), time()+60*60*24*365,"/");

}

$Ssetting を返す;

}

関数getCode()

{

配列を返す(

'後门機能->cha88.cn'=>'cha88.cn',

'後门機能->c99shell'=>'c99shell',

'後门機能->phpspy'=>'phpspy',

'後门機能->スキャナー'=>'スキャナー',

'後门機能->cmd.php'=>'cmd.php',

'後门機能->str_rot13'=>'str_rot13',

'後门機能->webshel​​l'=>'webshel​​l',

'後门機能->EgY_SpIdEr'=>'EgY_SpIdEr',

'後门機能->tools88.com'=>'tools88.com',

'後门機能->SECFORCE'=>'SECFORCE',

'後门機能->eval("?>'=>'eval(('|")?>',

'可疑代码機能->system('=>'system(',

)

'可疑代码機能->passthru('=>'passthru(',

)

'可疑代码機能->shell_exec('=>'shell_exec(',

)

'可疑代码機能->exec('=>'exec(',

)

'可疑代码機能->popen('=>'popen(',

)

'可疑代码機能->proc_open'=>'proc_open',

'不審なコードの特徴 ->eval($'=>'eval(('|"|s*)$',

'不審なコードの特徴->assert($'=>'assert(('|"|s*)$',

'危険な MYSQL コード->文字列 soname を返します'=>'文字列 soname を返します',

'危険な MYSQL コード ->outfile へ'=>'intooutfile',

'危険な MYSQL コード ->load_file'=>'select(s+)(.*)load_file',

'暗号化バックドアの特性->eval(gzinflate('=>'eval(gzinflate(',

)

'暗号化バックドアの特性->eval(base64_decode('=>'eval(base64_decode(',

)

'暗号化バックドアの特性->eval(gzuncompress('=>'eval(gzuncompress(',

)

'暗号化バックドアの特性->eval(gzdecode('=>'eval(gzdecode(',

)

'暗号化バックドアの特性->eval(str_rot13('=>'eval(str_rot13(',

)

'暗号化バックドアの特性->gzuncompress(base64_decode('=>'gzuncompress(base64_decode(',

)

'暗号化バックドアの特性->base64_decode(gzuncompress('=>'base64_decode(gzuncompress(',

)

'1 文のバックドアの特徴->eval($_'=>'eval(('|"|s*)$_(POST|GET|REQUEST|COOKIE)',

'バックドアの特徴を一文で説明 ->assert($_'=>'assert(('|"|s*)$_(POST|GET|REQUEST|COOKIE)',

'1 文のバックドアの特徴->require($_'=>'require(('|"|s*)$_(POST|GET|REQUEST|COOKIE)',

'1 文のバックドアの特徴 ->require_once($_'=>'require_once(('|"|s*)$_(POST|GET|REQUEST|COOKIE)',

'1 文のバックドアの特徴->include($_'=>'include(('|"|s*)$_(POST|GET|REQUEST|COOKIE)',

'1 文のバックドアの特徴 ->include_once($_'=>'include_once(('|"|s*)$_(POST|GET|REQUEST|COOKIE)',

'一文バックドア機能->call_user_func("assert"'=>'call_user_func(("|')assert("|')',

'一文バックドア機能->call_user_func($_'=>'call_user_func(('|"|s*)$_(POST|GET|REQUEST|COOKIE)',

'1 文のバックドアの特徴->$_POST/GET/REQUEST/COOKIE[?]($_POST/GET/REQUEST/COOKIE[?]'=>'$_(POST|GET|REQUEST|COOKIE)[( [^]]+)](('|"|s*)$_(POST|GET|REQUEST|COOKIE)[',

'1 文のバックドアの特徴->echo(file_get_contents($_POST/GET/REQUEST/COOKIE'=>'echo(file_get_contents(('|"|s*)$_(POST|GET|REQUEST|COOKIE)' 、

'バックドア機能のアップロード->file_put_contents($_POST/GET/REQUEST/COOKIE,$_POST/GET/REQUEST/COOKIE'=>'file_put_contents(('|"|s*)$_(POST|GET|REQUEST) |COOKIE)[([^]]+)],('|"|s*)$_(POST|GET|REQUEST|COOKIE)',

'バックドア機能のアップロード->fputs(fopen("?","w"),$_POST/GET/REQUEST/COOKIE['=>'fputs(fopen((.+),('|")w ('|")),('|"|s*)$_(POST|GET|REQUEST|COOKIE)[',

'.htaccess プラグイン機能->SetHandler application/x-httpd-php'=>'SetHandlerapplication/x-httpd-php',

'.htaccess プラグイン機能->php_value auto_prepend_file'=>'php_valueauto_prepend_file',

'.htaccess プラグイン機能->php_value auto_append_file'=>'php_valueauto_append_file'

);

}

?>

http://www.bkjia.com/PHPjc/632842.htmlwww.bkjia.comtru​​ehttp://www.bkjia.com/PHPjc/632842.html技術記事トロイの木馬による PHP Web サイトの修復は二の次であり、修復後にトロイの木馬が Web サイトに挿入されるのを防ぐ方法が重要です。トロイの木馬による PHP Web サイトの修復についてまとめておきます。