Een hacker codeert zijn php scripts zodat de server het niet snel zal herkennen als virus.
De server zal elk bestand namelijk niet 10x decoderen om het te lezen.
Maar zo’n bestand kan wel uitgevoerd worden op aanvraag, en dat is wat een hackscript doet.
Een stuk base64 code decoderen
Als je die hele soep van code ziet, weet je misschien niet waar je moet beginnen.
Maar er zit wel logica in. De code begint vaak met een eval(“”) waarbij het de code binnen de “” wil uitvoeren. Die code kun je in een decoder zetten.
Vaak zetten ze de code nog in een variabele die uitgevoerd moet worden via een gedecodeerde variabele zodat het eigenlijk niet te doen is om dat zelf te gaan ontrafelen. En dat is nu net de bedoeling van de scriptschrijvers.
Wat staat er nu meestal achter “die verstopte code”?
In veel gevallen is het een link naar een productpagina van de hacker of zijn klant. Of een script dat e-mails (spam) verstuurt naar e-mailadressen.
Maar soms heb je te maken met een geavanceerder hackscript, dan worden niet alleen die simpele handelingen uitgevoerd maar worden ook je database gegevens doorgesluisd of ontstaat er een nieuwe gebruiker in de database zodat het hackscript er later weer in kan komen als je het gerepareerd hebt.
Of een script kopieert zichzelf even naar elke map die je server bevat.
Dit zijn dingen die je meestal niet wilt weten, en het beste is om niet in de huid te kruipen van een scriptschrijver maar het te verwijderen en je WordPress deels te vernieuwen zodat je zeker bent dat al zijn codes en bestanden van je server zijn.
De base64 code is 3-10x gecodeerd.. wat nu?
De bestanden zijn vaan 1-5x gecodeerd. Dit betekend dat je een tijd bezig bent om ze te decoderen.
Gelukkig is er een website die dit proces voor je doet, UnPHP maakt een virtuele ruime en pakt daar de gecodeerde php uit.
Tot wel 81x in een loop wanneer dit nodig is!!
