请求解码可疑PHP文件delimentr.php并分析服务器性能影响

解码与功能分析 #

要明确该文件的真实作用，需先还原其隐藏的代码逻辑：

• 这类恶意文件通常用Base64编码、嵌套eval()/assert()或字符串混淆来伪装。直接执行风险极高，建议按以下步骤操作：
  1. 将文件代码复制到本地测试环境，把所有eval(替换为echo(，运行后输出真实逻辑。
  2. 若文件开头是长串Base64字符，用base64_decode()解码（部分文件会结合gzdecode做压缩加密，需额外处理）。
  3. 重点排查以下恶意特征：
     • 对外发起未知HTTP请求（用于数据窃取或接收远程指令）
     • 占用CPU的死循环/密集计算（这是导致php-fpm变慢的核心原因）
     • 修改系统配置、添加定时任务以维持持久化入侵
     • 读取数据库凭证、用户隐私信息

性能问题定位 #

你遇到的未缓存请求响应耗时剧增，大概率是delimentr.php被全局加载：

• 检查php-fpm配置（/etc/php/*/fpm/php.ini或站点独立池配置）中的auto_prepend_file项，确认是否指向该文件——这个配置会强制所有PHP请求优先执行指定文件。
• 查看WordPress根目录的.htaccess文件，是否存在php_value auto_prepend_file delimentr.php这类恶意配置。
• 缓存请求直接返回静态内容，无需执行PHP逻辑，因此不受影响；未缓存请求必须触发PHP执行，进而运行该文件的恶意代码，导致响应延迟。

紧急修复步骤 #

1. 清理可疑文件：立即删除所有目录下的delimentr.php，同时扫描整个站点目录，清理类似命名的变种文件（如d3l1m3ntr.php、delimentr.bak）。
2. 恢复服务性能：重启php-fpm进程，终止恶意代码的持续运行：

   systemctl restart php-fpm
   

3. 封堵入侵入口：
   • 重置WordPress所有管理员密码、数据库连接密码。
   • 检查后台是否新增未知管理员账号，主题/插件是否被植入恶意代码。
   • 查看服务器安全日志（/var/log/auth.log）和php-fpm日志（/var/log/php-fpm.log），定位入侵IP并通过防火墙封禁。

内容的提问来源于stack exchange，提问作者SymmetricsWeb