Test per programmatori

[Veronica80]

Ciao a tutti! ieri un amico mi ha proposto questo test!
http://pastebin.com/Rr8qsy7T

In sostanza devo capire:

1) In che modo è decriptato
2) Cosa farei per decriptarlo

Però a dirla tutta non ho capito un cavolo di quel codice...è stranissimo!

Voi guru ci capite qualcosa? Perchè a sto punto son curiosa :P

[philbert]

Originariamente inviato da Veronica80
Ciao a tutti! ieri un amico mi ha proposto questo test!
http://pastebin.com/Rr8qsy7T

In sostanza devo capire:

1) In che modo è decriptato
2) Cosa farei per decriptarlo

Però a dirla tutta non ho capito un cavolo di quel codice...è stranissimo!

Voi guru ci capite qualcosa? Perchè a sto punto son curiosa :P

A prima vista non pare affatto codice criptato, bensì semplicemente offuscato.
Codice offuscato vuol dire che è scritto in maniera bell'apposta complessa in modo che chi lo legge abbia massima difficoltà a capire cosa fa il codice.

ad esempio lui dichiara delle variabili da con nomi composti da elle minuscole (l) e da 1 che sono difficilmente distinguibili (con certi font sono proprio indistingubili).

Poi a ognuna di questa variabili assegna delle brevi stringhe che poi messe assieme formano un comando php che lui interpreta con eval()....

per intenderci eval() funziona che se tu scrivi

$pippo ='$num=57;';//apici singoli!!!
eval($pippo); 

hai appena creato una variabile $num che vale 57...

Più altre cose di questo tipo....

insomma è un bel rompicapo da fare sotto l'ombrellone ma con un po' di pazienza ci si può arrivare....

[Veronica80]

Mmmm interessante! In effetti è un macello xD

Vediamo chi lo risolve per primo allora

[philbert]

Originariamente inviato da Veronica80
Mmmm interessante! In effetti è un macello xD

Vediamo chi lo risolve per primo allora

Non io di sicuro perché tra 2h vado in vacanza

[Alhazred]

Basta semplicemente mettersi lì ad andare a capo ad ogni {, } o ; che sia un "fine istruzione" ed indentare il tutto.

[Grino]

Questo codice è una semplice trappola.
E' diviso in due parti <?php ?> in cui la seconda non è mai eseguita, mentre la prima ha una bella stringa codifica base64 che viene utilizzata per effettuare una injection di codice verso il browser tramite eval.

Tra questo codice codificato che contiene tante cose inutili, c'è anche

if (__LINE__-2) exit;
che fermerà lo script php. Prima di fermarlo però c'è anche una bella

/*<script>document.location="http://www.sitocacca.com/";</script>*/

e dato che eval invia il proprio output direttamente al browser, saremo spediti al sito cacca.

Tutte quelle variabili iniziali l1l1l non servono ad altro che a nascondere stripslashes(base64_decode(di_una_stringa_molto_lu nga_senza_il_primo_carattere))

Come ho fatto a scoprirlo? Copiato in codice in Netbeans, chiesta la formattazione automatica, inseriti gli accapo dopo i punti e virgola. Quindi, ho sostituito la eval con $s= e quindi alla riga successiva ho fatto file_put_contents('pippo.txt',$s);
aperto pippo.txt ho letto in cosa si trasformano tutte quelle menate.

Di cosa si tratta tutto questo a mio parere?

SPAM!!!!

[Veronica80]

Grino non ho capito bene la tua soluzione!

Perchè spam?

Ho controllato e non trovo nessun pezzo con:
if (__LINE__-2) exit;

o

document.location...


Dove li hai pescati scusa? :S

[Grino]

Mi quoto da solo nella speranza che legga quanto scritto con più attenzione!

EDIT: Aggiunta anche la sezione come ho fatto!

Originariamente inviato da Grino
Questo codice è una semplice trappola.
E' diviso in due parti <?php ?> in cui la seconda non è mai eseguita, mentre la prima ha una bella stringa codifica base64 che viene utilizzata per effettuare una injection di codice verso il browser tramite eval.

....

Come ho fatto a scoprirlo? Copiato in codice in Netbeans, chiesta la formattazione automatica, inseriti gli accapo dopo i punti e virgola. Quindi, ho sostituito la eval con $s= e quindi alla riga successiva ho fatto file_put_contents('pippo.txt',$s);
aperto pippo.txt ho letto in cosa si trasformano tutte quelle menate.

Di cosa si tratta tutto questo a mio parere?

SPAM!!!!

[satifal]

Causa proxy non riesco a scaricare lo script.

[Grino]

Non ti sei perso nulla:

questa è la porzione iniziale che interessa, in cui ho sostituito la eval con $s= e aggiunto il file_put...



quindi in pippo3.txt hai quanto segue:



che se da un lato ferma lo script con la exit, dall'altro produce il suo output verso il browser con la eval

Ho modificato i vari nomi dei siti per dare uno stoppino allo spam!