Cara Gampang Decode Obfuscated Php Script Dengan Terminal Linux

banyak alasan kenapa sebuah file di enkripsi. Untuk melindngi file dari pencuri, mengkompress ukuran file dan lain lain. Namun tidak jarang kompresi file dipakai untuk kepentingan usil. Contohnya menyisipkan backdoor di file yang mereka share. Sehingga biar data kita tidak di curi kita harus men-decode file nya. Contohnya dikala aku mendownload wordpress theme nulled, ternyata ada logger di dalamnya.
Beruntung yang dipakai hanya Obfuscator sederhana sehingga cukup gampang untuk di decode.
kali ini aku akan mencoba mendecode script php backdoor yang di Obfuscate.
File yang akan di decode : Link File

Save file nya dengan nama backdoor.php

Kita coba pahami struktur di awal code.

$OOO0O0O00=__FILE__;
$O00O00O00=__LINE__;
$OO00O0000=34764;
eval((base64_decode('base64 encoded script')));return;?>

Nah, ambil bab base64 nya, kemudian simpan dengan nama base64.txt .
Masuk terminal, kemudian ketik command
jackwilder@backbox /exp/dec % cat base64.txt | base64 -d > decode.txt

maka hasil dari decode nya nanti akan terdapat pada file decode.txt

$O000O0O00=fopen($OOO0O0O00,'rb');
while(--$O00O00O00)fgets($O000O0O00,1024);
fgets($O000O0O00,4096);
$OO00O00O0=(base64_decode(strtr(fread($O000O0O00,372),'EnteryouwkhRHYKNWOUTAaBbCcDdFfGgIiJjLlMmPpQqSsVvXxZz0123456789+/=','ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/')));eval($OO00O00O0);

Nah, kita gunakan command berikut untuk mengambil source file yang telah di obfuscate.

jackwilder@backbox /exp/dec % tail -1 backdoor.php | tr \
'EnteryouwkhRHYKNWOUTAaBbCcDdFfGgIiJjLlMmPpQqSsVvXxZz0123456789+/=' \
'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/' | \
base64 -d > dec.txt

Buka file dec.txt .

Keliatan deh tuyul yang nyelip disitu :D

Sekian tutor kali ini semoga bermanfaat.
Sumber https://www.linuxsec.org/

Share this post