有人可以帮我看看这个被挂马的 PHP 怎么解析出内容吗？

楼主你这是连续剧么？

Day 1 ：因为图片未压缩导致应用程序服务器带宽被挤爆
Day 2 ：（猜测是）因为 SQL 查询太多导致 MySQL 服务器被查爆
Day 3 ：被挂了木马

楼主，全栈工程师真的需要很多经验，不是一两天就会的。让你老板招一个前端 + 一个运维，让专业的人来做专业的事。自己在经验不足的情况下会可能会越弄越糟糕。

比如你那个木马，至少得把文件帖全了啊。

楼主能把对应的代码贴全吗

自己运行一下，把 eval 去掉就行了，得到一个 109K 左右的 php 文件

运行 echo 可以替换成一段 PHP 代码 然后就是这个作怪了 话说发生这种问题 一般来说都是盗版主题的问题

放在这里了
http://codepad.org/Wl8XwCWT

自己看吧

<script src="https://gist.github.com/yangqi/aa72f79941f3c126da98.js"></script>

看了下好像是用来发垃圾邮件的

@Moker 整个网站除了 wordpress 系统外都是我自己写的，我也不知这个文件是怎么出现的

eval 大法好

@yangqi

我眼睛都看瞎了，大量的 sendCommand 难道是评论机？

你们就继续帮 LZ 解决问题吧。
下次 LZ 的问题就是：
“我们老板交给我一个任务，需求在这个网盘里，请好心人帮忙给做一下，最好了请直接发到我老板的邮箱里，省的我中转了，拜托各位”

@stanhou 我是真的解决不了，文件我已经自己处理成标准的 php 格式了，但是还是有少部分无法解码， php 也没法运行。相比较鱼，我更希望得到渔具。

其实不用管这个文件是什么内容，既然这个文件已经被执行了，那说明黑客至少能读写你的文件以及数据库，至于到什么程度就看你是怎么配置的了。另外，后门一定还在不解决掉它以后还会再来的。

@hoythan 其实很简单，整个文件把 eval 改成 print 就可以了

如果是 wordpress 的话漏洞还是很多的，不过大部分都是第三方插件或者模板。之前也被人下过一个马

一般在什么目录下能大概知道是从哪里进来的

@ddaii 因为我写过一个基于来源的 editor.md 。里面附带了一个 upload.php 文件功能，我怀疑是通过这个将这东西写文件到我服务器上的。现在我就是不知道日后这种问题应该如何排查。

@yangqi 因为这个 error.php 就是生成在这个编辑器之下，既然有生成权限我担心会大量的生成到其他地方心好累

查看文件创建时间 是程序上传还是系统漏洞
ftp 是不是一直被扫端口
查看访问日志

看日志啊，在日志里搜索这个文件，看看是哪个 ip 在访问它，然后查找这个 ip 的所有访问记录大概就可以找出来了。

@yangqi 原来代码是帖全了，但是选择了 HTML 模式。

我也看了下那个文件，应该是用来发送垃圾邮件的。楼主你是不是真的下了盗版主题？

这个文件会接受 HTTP POST 请求，并且拿出请求的第一个参数作为配置交给 `type1_send` 函数。

`type1_send` 函数拿到配置之后，会用函数 `b64d` 以及 `decode` 将配置解开，然后 `unserialize`。`ak` 应该是密码？`sendSmtpMail` 函数用来构建一个 PHPMailer 实例来发送邮件（真牛逼啊，打包了整个 PHPMailer 进去，这么大真还算是偷偷摸摸么）

其实有未受控的 `unserialize` 就已经够不安全了，或许可以进行对象注入，把它当作木马完全不过分。

楼主如果有完整的那个数组函数，可以这样解码试试：
https://gist.github.com/maicong/738df897ca1d217bfe66

@hoythan 查日志，多半和 upload.php 有关。要看 upload.php 里面具体怎么写的，一般没拿到 shell 的话很难传到其他文件夹

wordpress 的站每时每刻都有各种扫描漏洞的机器人

已经解出了源码

@hoythan 富文本编辑器千万要谨慎，特别是还带上传功能的。市面上的基本都有坑。

还记得昨天的 ALTER TABLE 么？
别告诉我你说的上传功能就是这货。。。。

其实楼主的头像挺萌的

@SoloCompany
头像有加成。。。

还有，楼主，明天继续。静待

@mhycy 嗯，还是没脑补出他怎么被老板砍死的样子

第三集了啊，啥时候大结局

预计第四集，楼主向运维迈进，欢迎进入我的行列~~~~~~

第五集，楼主学会了信息安全，欢迎成为同行～

坐等第 4 集 太欢乐啦

把 eval 换成 echo 运行一下就行了。

把 upload.php 内容贴出来

说个题外话：刚刚不小心点到题主微博

题主叫老板找个运维吧

年度大戏的赶脚，等更新

@hoythan 是个 SMTP 发邮件的库

@yangqi 楼主贴的代码看上去都不完整啊，你怎么拿到 eval 的内容的？

@ChiChou 贴的是完整的，不过楼主发的链接默认显示的不完整。点击右下角查看源码就行了

内容真不重要，重要的是这个文件怎么上去的。