linux - 解密混淆的perl脚本

Question

在我的服务器上出现了一些垃圾邮件问题，在发现并删除了一些 Perl 和 PHP 脚本之后，我开始检查它们到底做了什么，虽然我是一名高级 PHP 程序员，但我对 Perl 没有什么经验，任何人都可以在这里帮助我编写脚本:

http://pastebin.com/MKiN8ifp

(一长串代码，脚本名为list.pl)

---

脚本的开头是:

$??s:;s:s;;$?::s;(.*); ]="&\%[=.*.,-))'-,-#-*.).<.'.+-<-~-#,~-.-,.+,~-{-,.<'`.{'`'<-<--):)++,+#,-.{).+,,~+{+,,<)..})<.{.)-,.+.,.)-#):)++,+#,-.{).+,,~+{+,,<)..})<*{.}'`'<-<--):)++,+#,-.{).+:,+,+,',~+*+~+~+{+<+,)..})<'`'<.{'`'<'<-}.<)'+'.:*}.*.'-|-<.+):)~*{)~)|)++,+#,-.{).+:,+,+,',~+*+~+~+{+<+,)..})

它以极少的非标点字符继续，直到最后:

0-9\;\\_rs}&a-h;;s;(.*);$_;see;

Answer 1

将 s;(.*);$_;see; 替换为 print 以获得 this .在有效负载的前半部分再次将 s;(.*);$_;see; 替换为 print 以获得 this ，这是解密代码。有效负载的后半部分是要解密的代码，但我不能再继续下去了，因为如您所见，解密代码正在寻找 envvar 或 cookie 中的 key (这样只有脚本的创建者可以控制它或解码它，大概)，我没有那个 key 。这实际上做得相当巧妙。