調査の結果、これらのPHPファイルが改ざんされたことにより、Webサイトからのレスポンス内に不正なコードが、閲覧者のアクセス毎に動的に挿入されていたことが判明しました。 改ざんされたPHPファイルによって不正なコードが挿入される仕組み 改ざんされたPHPファイルには、「//istart」および「//iend」というコメントに挟まれた、図 1のような不正なPHPコードが挿入されていました(不正なPHPコードが難読化されている場合も確認しています)。 この不正なPHPコードは、外部から取得したコードを挿入する機能を持っており、特定のURLから不正なコードを受け取り、特定の位置に挿入します。 図 1: 「//istart」および「//iend」に挟まれた不正なPHPコード 挿入される不正なコード Webサイトに閲覧者がアクセスすると、改ざんされたPHPファイル中の不正なPHPコードは、図 2のよ
![改ざんの標的となるCMS内のPHPファイル(2016-02-25) - JPCERT/CC Eyes](https://cdn-ak-scissors.b.st-hatena.com/image/square/ea3a7a5675cdef7cc072aad1138c5cba4188c075/height=288;version=1;width=512/https%3A%2F%2Fblogs.jpcert.or.jp%2Fja%2F.assets%2Fthumbnail%2Facreport-cms_01-800wi.png)