有人可以帮我看看这个被挂马的 PHP 怎么解析出内容吗？

[hoythan]

突然服务器监控到非常慢的执行文件
然后找到了一个名字叫 error.php 的文件，我虽然删除了，但是还很不放心，可以帮我看看里面是什么内容吗？或者有什么方法可以看到吗？类似 base64_decode 之类的加密？

http://runjs.cn/detail/t7pjk2ps
点击查看源码帮我查看下 拜托各位。

[Strikeactor]

让你们老板招个运维吧真的。。

[hoythan]

@Strikeactor ...

[emric]

一句话木马。

[hoythan]

@emric 我不知道内容，也不知道怎么出现的...我想先知道内容，来了解危害性有多大

[qcloud]

@hoythan - - 如果真是木马，服务器权限就被拿到了

[qcloud]

@emric 看上去并不像一句话

[raincious]

楼主你这是连续剧么？

Day 1 ：因为图片未压缩导致应用程序服务器带宽被挤爆
Day 2 ：（猜测是）因为 SQL 查询太多导致 MySQL 服务器被查爆
Day 3 ：被挂了木马

楼主，全栈工程师真的需要很多经验，不是一两天就会的。让你老板招一个前端 + 一个运维，让专业的人来做专业的事。自己在经验不足的情况下会可能会越弄越糟糕。

比如你那个木马，至少得把文件帖全了啊😂。

[MaiCong]

楼主能把对应的代码贴全吗

[yangqi]

自己运行一下，把 eval 去掉就行了，得到一个 109K 左右的 php 文件

[Moker]

运行 echo 可以替换成一段 PHP 代码 然后就是这个作怪了 话说发生这种问题 一般来说都是盗版主题的问题

[yangqi]

放在这里了
http://codepad.org/Wl8XwCWT

自己看吧

[yangqi]

<script src="https://gist.github.com/yangqi/aa72f79941f3c126da98.js"></script>

[yangqi]

看了下好像是用来发垃圾邮件的

[hoythan]

@Moker 整个网站除了 wordpress 系统外都是我自己写的，我也不知这个文件是怎么出现的

[strwei]

eval 大法好

[hoythan]

@yangqi

我眼睛都看瞎了，大量的 sendCommand 难道是评论机？

[stanhou]

你们就继续帮 LZ 解决问题吧。
下次 LZ 的问题就是：
“我们老板交给我一个任务，需求在这个网盘里，请好心人帮忙给做一下，最好了请直接发到我老板的邮箱里，省的我中转了，拜托各位”

[hoythan]

@stanhou 我是真的解决不了，文件我已经自己处理成标准的 php 格式了，但是还是有少部分无法解码， php 也没法运行。相比较鱼，我更希望得到渔具。

[ddaii]

其实不用管这个文件是什么内容，既然这个文件已经被执行了，那说明黑客至少能读写你的文件以及数据库，至于到什么程度就看你是怎么配置的了。另外，后门一定还在不解决掉它以后还会再来的。

[yangqi]

@hoythan 其实很简单，整个文件把 eval 改成 print 就可以了