Encontré problemas similares en Internet y comparé el código. Este es diferente.
Hace poco descubrí que el servidor web CentOS LAMP que usamos para el desarrollo en nuestra oficina se infectó con una pieza de código PHP inyectada al principio de todos nuestros archivos .php .
Pongo el código en Gist/Github , porque es largo, pero lo describo y lo que hice a continuación.
Estoy tratando de desenfocar el código fuente para entender el daño y ver lo que realmente hace el script malicioso. Pude decodificar un texto escapado de HEX, pero hay una parte que es más complicada.
Cambié el nombre de todas las variables y hay una cadena codificada en una variable llamada $foo , que se decodifica mediante una función llamada mistery_f , con una matriz austera que contiene una larga lista de números (variable $bar_arr ) .
Luego, hay incluso un fragmento de texto en una cadena, que contiene dos comentarios "extraños" confusos, un eval() , un str_replace y una llamada a la función mistery_f() .
Pero no obtengo la última parte, me parece que esta cadena nunca se evalúa para ejecutar el código, y en la última parte posiblemente hay algunas variables basura que hacen algo de aritmética y luego se ignoran.
Tal vez falte algo de código y no se haya inyectado.
Muchos de nuestros sitios web utilizan WordPress , que puede ser parte del problema.
¿Posiblemente algo relacionado con algún texto publicado y guardado en la base de datos MySQL , en un campo que no era lo suficientemente grande y truncado parte del código malicioso?
Intentaré ver y obtener algunos registros, si aún hay alguno, para ver cómo se explotó / penetró el servidor.
No pregunto porque es una prueba de producción. Afortunadamente, solo afectaría (probablemente), es decir, a los navegadores, pero no podemos hacer que los sitios web de vista previa del cliente en este servidor.
Me temo que podría ser una parte que no noté, y tal vez un desbordamiento de búfer, o algo que pueda dañar al resto del servidor.
También estoy tratando de averiguar por qué estaba infectado y cómo proteger los datos de nuestro sitio web en desarrollo.
Cualquier ayuda es bienvenida. Gracias