恶意PHP后门PHP/Fobushell.G功能解析及base64解码乱码咨询

嘿，我来帮你拆解这个PHP/Fobushell.G后门的问题～

一、这个后门到底能干啥？ #

PHP/Fobushell.G是典型的Webshell后门，核心功能就是帮攻击者完全掌控你的服务器：

• 远程执行系统命令：攻击者只要往脚本的特定参数里塞指令，就能让服务器帮他跑各种操作——比如删文件、查看服务器配置、甚至下载其他恶意程序。
• 随心所欲操作文件：创建、修改、删除服务器上的任意文件不在话下，还能直接上传新的恶意脚本，把你的服务器变成他的“肉鸡”。
• 花式躲避查杀：为了不被安全软件发现，它会把核心恶意代码裹好几层“外衣”，不止用Base64，还会搭配字符集转换、异或、字符串反转这些操作来混淆。

二、为啥你解码后是乱码/奇怪字符？ #

你说直接Base64解码后得到中文或异常字符，这太正常了——因为这后门根本不是单纯用Base64加密的！
通常它的套路是：

1. 先把恶意代码用非UTF-8的字符集（比如GBK、UTF-16）编码，再套一层Base64。你直接用UTF-8去解码，自然就变成乱码了。
2. 还有些版本会在Base64之后再加一步混淆，比如替换部分字符、做异或运算，甚至把编码后的字符串拆成几段藏起来，你直接解码完整字符串当然不对。

给你个实用的还原思路：

• 先把你解码出来的乱码，用字符转换工具试试转成GBK或者UTF-16，大概率就能看到正常的PHP代码了。比如用PHP的话，可以写echo iconv('GBK', 'UTF-8', $decoded_content);来转换。
• 如果还是不行，就得回头看原后门脚本里有没有其他混淆逻辑，比如有没有用str_rot13()、异或（比如$code ^ '某个密钥'）这类操作，得一层一层逆向拆解。

三、碰到这种情况该咋处理？ #

• 第一时间删掉这个后门脚本，然后全网站目录排查一遍，看看有没有其他近期新增或修改的可疑PHP文件——攻击者大概率还留了其他后门。
• 查服务器的访问日志，找出攻击者的IP和入侵路径，把IP封禁，同时赶紧修复对应的漏洞（比如CMS未打补丁、后台弱密码、文件上传漏洞这些）。
• 检查核心配置文件、数据库备份的完整性，确认有没有被篡改，必要的时候恢复备份。

内容的提问来源于stack exchange，提问作者anderly