任何熟悉press87.php文件的人 - 这是黑客吗？

Question

我刚刚注意到一个名为“press87.php”的服务器上的Joomla安装的一个奇怪的文件，它与任何特别的东西都没有关联。它似乎被加密，并在interweb上进行搜索，似乎在许多目录中显示 - 包括WP安装 - 但看似随机的地方。这是黑客吗？有人对这个有了解吗？

文件中包含的原代码可以在http://pastebin.com/J8fe5RP1

干杯查看！

Answer 1

这段代码肯定是恶意的，并且似乎是一个带有邮件服务器的后门。

该代码通过base64和某些字符旋转进行了模糊处理，但通过用print代替最后一行中的eval，可以很容易地发现该代码。

的未经模糊处理的PHP代码可以在http://pastebin.com/zyH8axSK

所以观看，这是什么意思？有人找到了一种方法将PHP文件放在您的网络服务器上，并打算滥用垃圾邮件。

我猜想你的Joomla安装本身或某个插件存在安全问题。要重新弄干净，你应该：

• 让你的数据库和（合法的）用户上传的文件的备份，
• 删除安装您的Joomla的所有文件（因为即使是“真实”的Joomla文件可能是现在感染了）。
• 从新下载重新安装Joomla。与所有插件相同。
• 恢复Joomla数据库备份。
• 更改全部用户密码和删除可疑帐户。
• 重新安装用户上传的文件，但检查每一个可能的感染。

做不只是删除后门文件，并认为你做，因为你会被感染，明天再次，如果你不解决，允许恶意文件上传的安全性问题。