前段时间在看某厂的WEBSHELL文本检测大赛,顺便也研究了一下php的一些免杀手段,这里我们仅讨论php中函数对绕过和特性,不会讲到混淆之类的免杀,那么灾做免杀之前我们先来看几个主流的webshell查杀工具。

01

 本地查杀工具

D盾

阿D出品，使用自行研发不分扩展名的代码分析引擎，能分析更为隐藏的WebShell后门行为。

这里我们使用的是2023最新更新的版本2.1.7.2

安全狗

本地网马引擎与云端网马引擎结合，精确查杀各类网马、挂马、黑链与畸形文件。智能化查杀，精准、快速、资源耗用小、彻底有效清除后门隐患。

这里我们也是用2023版本的安全狗。

02‍

 在线查杀工具

WEBDIR+

(百度)下一代WebShell检测引擎，采用先进的动态监测技术，结合多种引擎零规则查杀。

项目地址:https://scanner.baidu.com/#/pages/intro

ShellPub

(河马)专注webshell查杀研究，拥有海量webshell样本和自主查杀技术，采用传统特征+云端大数据双引擎的查杀技术。查杀速度快、精度高、误报低。

项目地址:https://n.shellpub.com/

CloudWalker

(牧云)一个可执行的命令行版本 Webshell 检测工具。

项目地址:https://stack.chaitin.com/security-challenge/webshell/index

webshell

那么接着就来构造webshell。‍‍

首先我们写一个最简单的webshell一句话木马。

<?php
eval($_POST['a']);
?>

一个webshell分为两个部分,一个是危险函数,一个是外部传参数。

这里我们通过对回调函数的测试发现了这么一个函数register_shutdown_function

这个函数我们对传参方式稍作修改发现可以绕过安全狗和D盾。

放入在线查杀中发现被检测出来。

这里我们还需要想办法绕过,首先想到的是加密,猜测可能检测了函数中的assert。

发现依旧可以执行,接着我们想法放入沙箱后可能会进行重命名,可以通过获取文件名来达到差分攻击。

依旧被检测了,那么想法是可能还是函数的问题,但是其他函数没法过安全狗,这里想法利用PHP的特性来做。

通过PHP特性我们成功绕过了云沙箱,再对其他进行检测。

发现基本全部绕过,D盾级别降到1了。

       

原文始发于微信公众号（山石网科安全技术研究院）：针对主流WebShell查杀工具的免杀绕过实践