新型webshell查杀平台绕过思路分享

年前捣鼓了下某伏魔挑战赛，幸运的是还能绕过平台查杀，不幸的是在年前收到全部思路已经重复的通知。

这里记录下自己的绕过思路：

1、掩耳盗铃法

用get_defined_constants函数遍历了所有本地环境的常量及其对应的值，转成整形后将其作为数值后与特定的数相加以变形成"system"这个敏感函数。当然可以是其他敏感函数，这只是一个举例，代码如下：

检测结果

抽出来的一个webshell例子

本地执行的结果

2、goto label干扰

命令执行：

剩下一些没有实现的、和其他人想法冲突的、没绕过平台查杀的，但是觉得思路非常骚气的，如：

1、实现读取当前文件创建时间是否大于30分钟，大于30分钟就是一个正常的webshell。

2、实现伪随机数webshell，需要多次爆破才能执行一次命令，大部分情况下都是一个正常的php文件。

原文始发于微信公众号（四八七驴安全历险记）：新型webshell查杀平台绕过思路分享