针对主流WebShell查杀工具的免杀绕过实践

渗透技巧 1年前 (2023) admin
342 0 0

前段时间在看某厂的WEBSHELL文本检测大赛,顺便也研究了一下php的一些免杀手段,这里我们仅讨论php中函数对绕过和特性,不会讲到混淆之类的免杀,那么灾做免杀之前我们先来看几个主流的webshell查杀工具。


01
 本地查杀工具

D盾

阿D出品,使用自行研发不分扩展名的代码分析引擎,能分析更为隐藏的WebShell后门行为。

这里我们使用的是2023最新更新的版本2.1.7.2

安全狗

本地网马引擎与云端网马引擎结合,精确查杀各类网马、挂马、黑链与畸形文件。智能化查杀,精准、快速、资源耗用小、彻底有效清除后门隐患。

这里我们也是用2023版本的安全狗。


02
 在线查杀工具

WEBDIR+

(百度)下一代WebShell检测引擎,采用先进的动态监测技术,结合多种引擎零规则查杀。

项目地址:https://scanner.baidu.com/#/pages/intro

ShellPub

(河马)专注webshell查杀研究,拥有海量webshell样本和自主查杀技术,采用传统特征+云端大数据双引擎的查杀技术。查杀速度快、精度高、误报低。

项目地址:https://n.shellpub.com/

CloudWalker

(牧云)一个可执行的命令行版本 Webshell 检测工具。

项目地址:https://stack.chaitin.com/security-challenge/webshell/index

webshell

那么接着就来构造webshell。

首先我们写一个最简单的webshell一句话木马。

<?php
eval($_POST['a']);
?>

针对主流WebShell查杀工具的免杀绕过实践


针对主流WebShell查杀工具的免杀绕过实践

一个webshell分为两个部分,一个是危险函数,一个是外部传参数。
这里我们通过对回调函数的测试发现了这么一个函数register_shutdown_function
这个函数我们对传参方式稍作修改发现可以绕过安全狗和D盾。
针对主流WebShell查杀工具的免杀绕过实践
针对主流WebShell查杀工具的免杀绕过实践
针对主流WebShell查杀工具的免杀绕过实践
针对主流WebShell查杀工具的免杀绕过实践
放入在线查杀中发现被检测出来。

针对主流WebShell查杀工具的免杀绕过实践

这里我们还需要想办法绕过,首先想到的是加密,猜测可能检测了函数中的assert。针对主流WebShell查杀工具的免杀绕过实践

发现依旧可以执行,接着我们想法放入沙箱后可能会进行重命名,可以通过获取文件名来达到差分攻击。

针对主流WebShell查杀工具的免杀绕过实践

依旧被检测了,那么想法是可能还是函数的问题,但是其他函数没法过安全狗,这里想法利用PHP的特性来做。

针对主流WebShell查杀工具的免杀绕过实践

通过PHP特性我们成功绕过了云沙箱,再对其他进行检测。

针对主流WebShell查杀工具的免杀绕过实践

发现基本全部绕过,D盾级别降到1了。

针对主流WebShell查杀工具的免杀绕过实践


       

原文始发于微信公众号(山石网科安全技术研究院):针对主流WebShell查杀工具的免杀绕过实践

版权声明:admin 发表于 2023年4月17日 上午11:08。
转载请注明:针对主流WebShell查杀工具的免杀绕过实践 | CTF导航

相关文章

暂无评论

您必须登录才能参与评论!
立即登录
暂无评论...