某php大马后门分析

分析一下手里的一个php大马，网上找的

源码是这样的

登陆后界面还是比较屌的

直接上echo 打印出这些关键变量

代码如下

输出后发现一个http的地址，还有一个危险函数file_get_contents
官方的文档如下

再继续看原来的代码

再次打印出变量e和d的值

这里的思路已经明朗了，它这里会请求链接的gif图片，然后通过file_get_contents函数将内容赋值给$_SESSION[‘PhpCode’]
通过迅雷下载gif图片，文件内容是如下乱码

继续查看原代码

打印变量a的值

gzinflate是解压函数，将代码解压出来打印

接着分析得到的php代码，在2380行找到一串字符

base64解密得到一个地址

分析变量url，总共含 变量，copyurl为上面的url地址，再定位其他两个变量

分别为开始的常量shell地址和密码字段
大马的后门就找到了。。。

本文始发于微信公众号（瓜神学习网络安全）：某php大马后门分析