Webshell Signal Explorer

<?php
/* thumbnail cache — do not edit */
$k = 'ZXhhbXBsZQ==';
$p = base64_decode($k);
eval($p);

Signale

• heuristics · php.dynamic_eval +45

  Code wird zur Laufzeit gebaut und ausgeführt — eval() bekommt eine Variable, kein Literal. Legitimer Anwendungscode braucht das fast nie, ein Lader immer.

• heuristics +25

  Decoder unmittelbar vor der Senke — base64_decode() speist direkt den ausführenden Aufruf. Der Abstand zwischen Dekodieren und Ausführen ist das Merkmal, nicht die Funktion selbst.

• heuristics +20

  PHP in einem Upload-Verzeichnis — wp-content/uploads/ nimmt Dateien aus dem Internet entgegen. Eine .php-Datei dort hat keinen legitimen Grund zu existieren, egal was drinsteht.

• heuristics +8

  Kommentar imitiert Plattform-Vokabular — „Nicht bearbeiten"-Kommentare sind billige Tarnung gegen menschliche Prüfer. Für sich genommen beweist das nichts; es erhöht die Punktzahl erst, wenn andere Signale feuern.

<?php
$s = 'nSjXpH5NmH2Wn2E=';
$x = gzinflate(base64_decode(str_rot13($s)));
$h = "\x73\x79\x73\x74\x65\x6d";
echo strlen($x);

Signale

• heuristics +35

  Drei Decoder in einem Ausdruck — str_rot13 → base64_decode → gzinflate ist eine Transformationskette, keine Datenverarbeitung. Jede Funktion für sich ist harmlos, die Komposition ist das Signal.

• heuristics +24

  Hex-kodiertes String-Literal — Eine lange \x..-Folge versteckt einen einfachen Bezeichner vor allem, was nach Wörtern sucht. PHP löst sie beim Parsen auf, ein Mensch nicht.

• heuristics · php.escape_density +12

  Ungewöhnliche Dichte an Escape-Sequenzen — Gemessen am Rest der Datei. Für sich genommen trifft das auch legitimen Bibliothekscode — genau deshalb entscheidet es nie allein.

• heuristics +15

  Dateiname imitiert den Core, der Pfad passt nicht — Der Name imitiert den WordPress-Core, doch die Distribution enthält keine solche Datei, und ihr Hash steht nicht in der Known-Good-Allowlist.

<?php
$a = 'php';
$b = 'info';
$f = $a . $b;
$f();

Signale

• heuristics · php.variable_call +28

  Aufrufziel wird zur Laufzeit zusammengesetzt — Das Aufrufziel taucht nie als Literal auf, keine statische Regel kann es benennen. Dispatcher, Plugin-Loader und DI-Container tun das täglich völlig legitim.

• heuristics +10

  Bezeichner über Konkatenation zerlegt — Einen Namen in Fragmente zu zerlegen ist ein Muster zur Suchvermeidung. In Framework-Code ist es oft schlicht Lesbarkeit.

GIF89a;
<?php echo 1; ?>

Signale

• heuristics +40

  PHP-Open-Tag mit Code in einer Mediendatei — Ein <?-Bytepaar allein genügt nicht — das erzeugte Fehlalarme auf normalen JPEGs und wurde behoben. Ein explizites Tag mit ausführbarem Code dahinter genügt.

• heuristics +26

  Deklarierter Typ und Inhalt widersprechen sich — Die Typerkennung über Magic Bytes steuert nur die Priorität. Eine Datei, deren Endung, Magic Bytes und Inhalt drei verschiedene Geschichten erzählen, wird geprüft und nie als „nur ein Bild" übersprungen.

• heuristics +18

  Beschreibbarer Upload-Pfad — Die Datei ist dort gelandet, wo anonyme Besucher schreiben dürfen. Zusammen mit dem Tag beantwortet das die Frage „wie kam sie hierher", bevor jemand sie stellen muss.

# .htaccess
AddType application/x-httpd-php .png
AddHandler application/x-httpd-php .ico

; .user.ini
auto_prepend_file = /home/example/public_html/wp-content/uploads/.cache.php

Signale

• heuristics +42

  Endung auf den PHP-Handler umgebogen — AddType/AddHandler unterhalb eines Docroots macht aus harmlosen Uploads ausführbaren Code. Fast keine legitime Site braucht das unterhalb von uploads/.

• heuristics +38

  `auto_prepend_file` aus einer Site heraus gesetzt — Es ist derselbe Mechanismus, den das Upload-Gate von Shelltrap selbst benutzt — genau deshalb behandelt das Produkt eine Überschreibung auf Site-Ebene als Fund und vertraut ihr nicht.

• heuristics +11

  Punktdatei in einem öffentlichen Verzeichnis — Die vorgeschaltete Datei versteckt sich vor einem beiläufigen ls. Persistenz wohnt in den Dateien, die niemand auflistet.

<?php
// wp-includes/kses.php — unmodified WordPress core
$string = str_replace( array( '&amp;', '&lt;', '&gt;' ), array( '&', '<', '>' ), $string );
$string = wp_kses_normalize_entities( $string, $context );
$string = preg_replace( '/&([^&\s;]+)(?![0-9a-z;])/', '&amp;$1', $string );

Signale

• heuristics · php.escape_density +12

  Hohe Dichte maskierter Zeichen — Ein HTML-Sanitizer besteht aus nichts als Escape-Sequenzen. PHPMailer, SimplePie und die Tabellen benannter Zeichenreferenzen lösen dasselbe Signal aus.

• hash +0

  SHA-256 steht in der Known-Good-Allowlist — Die Prüfsumme stammt aus der veröffentlichten WordPress-Distribution. Die Allowlist beantwortet die Heuristik — aber sie überstimmt nie einen Pfad-Kontexttreffer wie PHP unterhalb von uploads/.