Невидимые символы, скрывающие веб-шелл в зловредном коде на PHP

[bolk]

Этой технике уже несколько лет. Например, вот я её реализовывал на нескольких языках: github.com/bolknote/utf-16-trick (2017-й год), а вот похожая: bolknote.ru/all/3556 (2012-й).

[Alexufo]

Прикрылась лавочка)
Теперь консоль выдает:

Refused to evaluate a string as JavaScript because 'unsafe-eval' is not an allowed source of script in the following Content Security Policy directive: «default-src 'none'».

[bolk]

Ну это политика конкретного сайта работает.

[Maccimo]

Поиск фрагмента кода этого декодера разделителей привёл к статье 2019 года на Хабре.

Там фиг поймёшь, какого года статья.
Из профиля автора:

Зарегистрирован 24 мая 2013 г.

Активность 02.10.2015, 16:23

У статьи дата публикации 3 июля 2019 в 15:47

[Koneru]

Все просто, статью написал sneakquie с 2013 по 2015, но он написал ее в песочницу. Спустя 4 года ее одобрил ilyaplot. Соответсвенно, статья написана не позже 2015 года, а опубликована в 2019.

[Interreto]

Это понятно, PHP можно даже вставить в загружаемую картинки и он выполнится если как-то сделать ей include или required или вызвать напрямую если есть дыра с расширением файла по типу /my.gif.php. Но то на что не отвечает статья как попал на сервер licens.php.

[micronull]

У исследователей есть ряд липовых сайтов с дырами.

[Tatikoma]

Не совсем понятно зачем использовать пробелы и табы, когда есть U+200C и U+200D.

Если редактор поддерживает юникод (в 2021 году!), то zero-width символы заметить будет сложнее, чем кучу пробелов и переходов строк.

[Maccimo]

По размеру файла будет ещё заметнее, а hex view без труда разрушит всю магию.

[oz0ne]

До сих пор не все пишут код в utf-8 кодировке, а зловред должен быть универсален, возможно это одна из причин.

[Compolomus]

Ну я бы при просмотре фс первым делом бы удивился что лицензия с расширением php. А так как там текст, можно и в txt переименовать

[morgot]

Есть лицензии с php, для защиты от пиратства (в sypex dumper, к примеру, была такая).

[mSnus]

с «пустыми символами» забавно, конечно, но довольно бессмысленно ))

а код в license.php даже мой тупой сканер обнаружил бы и поднял тревогу