Schadcode in WordPress lesen: eval(base64_decode()) entschlüsseln

Wer eine gehackte WordPress-Seite untersucht, stößt fast immer auf dasselbe Muster: eine Zeile, die mit eval(base64_decode( beginnt und danach aus Hunderten scheinbar zufälligen Zeichen besteht. Das soll abschrecken und einfache Suchen ins Leere laufen lassen. Lesbar ist der Code trotzdem, und zwar ohne ihn auszuführen. Hier steht, wie du solche Stellen findest, sie gefahrlos entschlüsselst und was der Fund über den Angriff verrät.

Warum Angreifer Base64 benutzen

Base64 ist keine Verschlüsselung. Es ist eine Kodierung, die beliebige Daten in die Zeichen A–Z, a–z, 0–9, + und / übersetzt, am Ende oft mit einem oder zwei = aufgefüllt. Es gibt keinen Schlüssel: Wer den String hat, kann ihn zurückwandeln.

Für Angreifer hat das drei Vorteile:

• Sicherheits-Scanner und einfache Suchen nach verräterischen Begriffen wie $_POST, system oder fremden Domains finden im kodierten Text nichts.
• Sonderzeichen stören nicht. Anführungszeichen und Zeilenumbrüche im Schadcode zerbrechen beim Einschleusen keine PHP-Syntax.
• Wer flüchtig hinsieht, hält den Block für Lizenzdaten oder eine eingebettete Grafik.

Ausgeführt wird der Code erst durch die Funktion davor. base64_decode macht den Text wieder lesbar, eval führt ihn als PHP aus. Diese Kombination ist das eigentliche Warnsignal.

Typische Muster

Die Grundform ist eine einzige Zeile:

<?php eval(base64_decode('aWYoaXNzZXQoJF9QT1NUWydjJ10pKS...')); ?>

Damit Suchen nach genau diesem Text nichts finden, wird sie oft abgewandelt:

• Mehrere Schichten: eval(gzinflate(base64_decode('…'))) oder eval(str_rot13(base64_decode('…'))). Das Ergebnis einer Schicht ist die Eingabe der nächsten.
• Zerlegte Funktionsnamen: $f = 'base'.'64_'.'decode'; und später $f('…'). Der Name steht nirgends am Stück.
• Hex- oder chr()-Schreibweise: "\x62\x61\x73\x65\x36\x34\x5f\x64\x65\x63\x6f\x64\x65" ist ebenfalls base64_decode.
• Nutzereingaben als Befehl: eval(base64_decode($_POST['x'])). Hier steht der Schadcode gar nicht in der Datei, er kommt mit jeder Anfrage neu. Das ist eine Hintertür, über die der Angreifer beliebigen Code nachladen kann.

Wo du suchen solltest

Nicht jeder Treffer ist Schadcode. Auch der WordPress-Kern und seriöse Plugins nutzen base64_decode, etwa in mitgelieferten Bibliotheken. Die Suche liefert deshalb Kandidaten, keine Urteile.

Mit SSH-Zugang findest du die Kandidaten in einem Durchgang:

# Verdächtige Funktionsaufrufe in allen PHP-Dateien
grep -rnE "eval\s*\(|base64_decode\s*\(|gzinflate\s*\(|str_rot13\s*\(" --include="*.php" .

# PHP-Dateien im Uploads-Ordner: gehören dort nicht hin
find wp-content/uploads -name "*.php"

# Kern und Plugins mit den Originaldateien abgleichen (WP-CLI)
wp core verify-checksums
wp plugin verify-checksums --all

Ohne SSH bleibt der Weg per FTP: Dateien nach Änderungsdatum sortieren und die zuletzt geänderten öffnen. Besonders häufig betroffen sind:

• der Anfang von wp-config.php und index.php,
• die functions.php des aktiven Themes,
• der Ordner wp-content/mu-plugins, dessen Plugins automatisch laden und im Backend leicht übersehen werden,
• Dateien mit unauffälligen Namen wie wp-cache.php oder class-wp-*.php an Stellen, an denen es sie im Original nicht gibt.

Treffer, die verify-checksums meldet, sind besonders aussagekräftig: Die Datei weicht vom Original ab, obwohl das nie vorgesehen war.

Den Fund gefahrlos lesbar machen

Die wichtigste Regel: Die infizierte Datei niemals aufrufen und den Code niemals mit eval testen. Kopiere nur den String zwischen den Anführungszeichen oder die ganze Zeile und dekodiere sie getrennt davon.

Unser Werkzeug läuft vollständig in deinem Browser. Du kannst auch die ganze PHP-Zeile einfügen, der base64_decode(…)-Aufruf wird automatisch herausgelöst. Ausgeführt wird nichts, das Ergebnis erscheint nur als Text.

# Oben Text eingeben …

Drei Fälle sind typisch:

1. Lesbarer PHP-Code kommt heraus. Dann bist du fertig und kannst ihn deuten, siehe nächster Abschnitt.
2. Das Ergebnis sieht wieder nach Base64 aus. Der Code ist mehrfach verpackt. Mit „Ergebnis erneut dekodieren“ gehst du Schicht für Schicht weiter.
3. Es kommen nur Binärdaten heraus, angezeigt als Hex. Dann ist die nächste Schicht meist mit gzinflate komprimiert. Das Werkzeug kann sie nicht entpacken. Auf dem eigenen Rechner mit installiertem PHP geht es so, wobei eval durch echo ersetzt wird:

php -r 'echo gzinflate(base64_decode("HIER_DEN_STRING_EINFUEGEN"));'

Das gibt den Code nur aus und führt ihn nicht aus. Mach das auf deinem Rechner, nicht auf dem befallenen Server.

Was der entschlüsselte Code verrät

Der Klartext zeigt, was der Angreifer wollte, und damit, wo du weitersuchen musst:

• Hintertür: Code, der $_POST, $_GET, $_COOKIE oder $_REQUEST an eval, system, exec oder file_put_contents weiterreicht. Der Angreifer kann jederzeit neuen Code nachladen. Es gibt dann fast immer weitere Dateien mit demselben Zweck.
• Weiterleitungen: Abfragen auf den User-Agent oder den Referrer, gefolgt von header('Location: …'). Typisch sind Weiterleitungen nur für Besucher von Google oder nur auf dem Smartphone, damit der Betreiber am Desktop nichts bemerkt.
• Spam-Links: Code, der HTML mit fremden Links in die Ausgabe schreibt, oft nur für Suchmaschinen-Crawler.
• Neue Administratoren: Aufrufe von wp_insert_user oder wp_create_user mit der Rolle administrator. Dann die Benutzerliste prüfen und unbekannte Konten entfernen.
• Fremde Domains: Notiere jede Domain und jede IP-Adresse aus dem Klartext und suche danach in allen Dateien und in der Datenbank. Wo sie noch vorkommt, sitzt meist weiterer Schadcode.

Nach dem Fund: bereinigen statt löschen

Die verdächtige Zeile zu löschen, reicht selten. Wo eine Hintertür ist, sind meist weitere, und die Lücke, durch die sie kam, ist noch offen. Der Fund ist ein Hinweis, keine vollständige Diagnose.

Die eigentliche Bereinigung beschreibt unser Beitrag WordPress gehackt? Malware erkennen und bereinigen: sichern, Ausmaß eingrenzen, WordPress-Kern und Plugins aus sauberen Quellen ersetzen, Passwörter und Sicherheitsschlüssel erneuern, die Einfallstelle schließen. Wie du die Seite danach dauerhaft härtest, steht im Überblick zur WordPress-Sicherheit.

Das Werkzeug gibt es auch einzeln unter Base64 kodieren und dekodieren, zusammen mit unseren anderen kostenlosen Tools.

Du hast verschleierten Code gefunden und willst sicher sein, dass nichts übrig bleibt? Unser WordPress-Notfall-Service bereinigt die Seite und schließt die Lücke, oder schreib uns kurz.