首页 / PHP / PHP中webshell扫描文件木马的方法详解

PHP中webshell扫描文件木马的方法详解

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了PHP中webshell扫描文件木马的方法详解，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含6980字，纯文字阅读大概需要10分钟。

内容图文

这篇文章主要介绍了PHP实现webshell扫描文件木马的方法,涉及php针对数值传输的过滤操作与文件识别等相关安全操作技巧,需要的朋友可以参考下

具体如下：

可扫描 weevelyshell 生成或加密的shell 及各种变异webshell

目前仅支持php

支持扫描 weevelyshell 生成或加密的shell
支持扫描callback一句话shell
支持各种php大马

代码如下：

<!DOCTYPE html>
<html>
<head>
    <meta charset='gb2312'>
    <title>PHP web shell scan</title>
</head>
<body>
</body>
<?php
define("SELF",php_self());
error_reporting(E_ERROR);
ini_set('max_execution_time',20000);
ini_set('memory_limit','512M');
header("content-Type: text/html; charset=gb2312");
function weevelyshell($file){
    $content=file_get_contents($file);
    if(
        (
        preg_match('#(\$\w{2,4}\s?=\s?str_replace\("\w+","","[\w_]+"\);\s?)+#s',$content)&&
      preg_match('#(\$\w{2,4}\s?=\s?"[\w\d\+\/\=]+";\s?)+#',$content)&&               preg_match('#\$[\w]{2,4}\s?=\s\$[\w]{2,4}\(\'\',\s?\$\w{2,4}\(\$\w{2,4}\("\w{1,4}",\s?"",\s?\$\w{2,4}\.\$\w{2,4}\.\$\w{2,4}\.\$\w{2,4}\)\)\);\s+?\$\w{2,4}\(\)\;#',$content))
          ||
          (preg_match('#\$\w+\d\s?=\s?str_replace\(\"[\w\d]+\",\"\",\"[\w\d]+\"\);#s',$content)&&
        preg_match('#\$\w+\s?=\s?\$[\w\d]+\(\'\',\s?\$[\w\d]+\(\$\w+\(\$\w+\(\"[[:punct:]]+\",\s?\"\",\s?\$\w+\.\$\w+\.\$\w+\.\$\w+\)\)\)\);\s?\$\w+\(\);#s',$content))
        ){
        return true;
    }
}
function callbackshell($file){
    $content=file_get_contents($file);
    if(
        preg_match('#\$\w+\s?=\s?\$_(?:GET|POST|REQUEST|COOKIE|SERVER)\[.*?\]#is',$content)&&
        preg_match('#\$\w+\s?=\s?(?:new)?\s?array\w*\s?\(.*?_(?:GET|POST|REQUEST|COOKIE|SERVER)\[.*?\].*?\)+#is',$content)&&
        preg_match('#(?:array_(?:reduce|map|udiff|walk|walk_recursive|filter)|u[ak]sort)\s?\(.*?\)+?#is',$content)
        )
            return true;
}
function php_self(){
  $php_self=substr($_SERVER['PHP_SELF'],strrpos($_SERVER['PHP_SELF'],'/')+1);
  return $php_self;
}
$matches = array(
        '/mb_ereg_replace\([\'\*\s\,\.\"]+\$_(?:GET|POST|REQUEST|COOKIE|SERVER)\[[\'\"].*?[\'\"][\]][\,\s\'\"]+e[\'\"]'/is,
        '/preg_filter\([\'\"\|\.\*e]+.*\$_(?:GET|POST|REQUEST|COOKIE|SERVER)/is',
        '/create_function\s?\(.*assert\(/is',
        '/ini_get\(\'safe_mode\'\)/i',
        '/get_current_user\(.*?\)/i',
        '/@?assert\s?\(\$.*?\)/i',
        '/proc_open\s?\(.*?pipe\',\s?\'w\'\)/is',
    '/sTr_RepLaCe\s?\([\'\"].*?[\'\"],[\'\"].*?[\'\"]\s?,\s?\'a[[:alnum:][:punct:]]+?s[[:alnum:][:punct:]]+?s[[:alnum:][:punct:]]+?e[[:alnum:][:punct:]]+?r[[:alnum:][:punct:]]+?t[[:alnum:][:punct:]]+?\)/i',
        '/preg_replace_callback\(.*?create_function\(/is',
        '/filter_var(?:_array)?\s?.*?\$_(?:GET|POST|REQUEST|COOKIE|SERVER)\[[\'\"][[:punct:][:alnum:]]+[\'\"]\][[:punct:][:alnum:][:space:]]+?assert[\'\"]\)/is',
        '/ob_start\([\'\"]+assert[\'\"]+\)/is',
        '/new\s?ReflectionFunction\(.*?->invoke\(/is',
      '/PDO::FETCH_FUNC/',
        '/\$\w+.*\s?(?:=|->)\s?.*?[\'\"]assert[\'\"]\)?/i',
        '/\$\w+->(?:sqlite)?createFunction\(.*?\)/i',
        '/eval\([\"\']?\\\?\$\w+\s?=\s?.*?\)/i',
        '/eval\(.*?gzinflate\(base64_decode\(/i',
        '/copy\(\$HTTP_POST_FILES\[\'\w+\'\]\s?\[\'tmp_name\'\]/i',
        '/register_(?:shutdown|tick)_function\s?\(\$\w+,\s\$_(?:GET|POST|REQUEST|COOKIE|SERVER)\[.*?\]\)/is',
        '/register_(?:shutdown|tick)_function\s?\(?[\'\"]assert[\"\'].*?\)/i',
        '/call_user_func.*?\([\"|\']assert[\"|\'],.*\$_(?:GET|POST|REQUEST|COOKIE|SERVER)\[[\'|\"].*\]\)+/is',
      '/preg_replace\(.*?e.*?\'\s?,\s?.*?\w+\(.*?\)/i',
    '/function_exists\s*\(\s*[\'|\"](popen|exec|proc_open|system|passthru)+[\'|\"]\s*\)/i',
    '/(exec|shell_exec|system|passthru)+\s*\(\s*\$_(\w+)\[(.*)\]\s*\)/i',
    '/(exec|shell_exec|system|passthru)+\s*\(\$\w+\)/i',
    '/(exec|shell_exec|system|passthru)\s?\(\w+\(\"http_.*\"\)\)/i',
         '/(?:john\.barker446@gmail\.com|xb5@hotmail\.com|shopen@aventgrup\.net|milw0rm\.com|www\.aventgrup\.net|mgeisler@mgeisler\.net)/i',
      '/Php\s*?Shell/i',
    '/((udp|tcp)\:\/\/(.*)\;)+/i',
    '/preg_replace\s*\((.*)\/e(.*)\,\s*\$_(.*)\,(.*)\)/i',
    '/preg_replace\s*\((.*)\(base64_decode\(\$/i',
    '/(eval|assert|include|require|include_once|require_once)+\s*\(\s*(base64_decode|str_rot13|gz(\w+)|file_(\w+)_contents|(.*)php\:\/\/input)+/i',
    '/(eval|assert|include|require|include_once|require_once|array_map|array_walk)+\s*\(.*?\$_(?:GET|POST|REQUEST|COOKIE|SERVER|SESSION)+\[(.*)\]\s*\)/i',
    '/eval\s*\(\s*\(\s*\$\$(\w+)/i',
      '/((?:include|require|include_once|require_once)+\s*\(?\s*[\'|\"]\w+\.(?!php).*[\'|\"])/i',
    '/\$_(\w+)(.*)(eval|assert|include|require|include_once|require_once)+\s*\(\s*\$(\w+)\s*\)/i',
    '/\(\s*\$_FILES\[(.*)\]\[(.*)\]\s*\,\s*\$_(GET|POST|REQUEST|FILES)+\[(.*)\]\[(.*)\]\s*\)/i',
    '/(fopen|fwrite|fputs|file_put_contents)+\s*\((.*)\$_(GET|POST|REQUEST|COOKIE|SERVER)+\[(.*)\](.*)\)/i',
    '/echo\s*curl_exec\s*\(\s*\$(\w+)\s*\)/i',
    '/new com\s*\(\s*[\'|\"]shell(.*)[\'|\"]\s*\)/i',
    '/\$(.*)\s*\((.*)\/e(.*)\,\s*\$_(.*)\,(.*)\)/i',
    '/\$_\=(.*)\$_/i',
    '/\$_(GET|POST|REQUEST|COOKIE|SERVER)+\[(.*)\]\(\s*\$(.*)\)/i',
    '/\$(\w+)\s*\(\s*\$_(GET|POST|REQUEST|COOKIE|SERVER)+\[(.*)\]\s*\)/i',
    '/\$(\w+)\s*\(\s*\$\{(.*)\}/i',
    '/\$(\w+)\s*\(\s*chr\(\d+\)/i'
);
function antivirus($dir,$exs,$matches) {
    if(($handle = @opendir($dir)) == NULL) return false;
    while(false !== ($name = readdir($handle))) {
        if($name == '.' || $name == '..') continue;
        $path = $dir.$name;
        if(strstr($name,SELF)) continue;
        //$path=iconv("UTF-8","gb2312",$path);
        if(is_dir($path)) {
            //chmod($path,0777);/*主要针对一些0111的目录*/
            if(is_readable($path)) antivirus($path.'/',$exs,$matches);
        } elseif(strpos($name,';') > -1 || strpos($name,'%00') > -1 || strpos($name,'/') > -1) {
            echo '特征 <input type="text" style="width:250px;" value="解析漏洞">     '.$path.'<p></p>'; flush(); ob_flush();
        }
        else {
            if(!preg_match($exs,$name)) continue;
            if(filesize($path) > 10000000) continue;
            $fp = fopen($path,'r');
            $code = fread($fp,filesize($path));
            fclose($fp);
            if(empty($code)) continue;
            if(weevelyshell($path)){
            echo '特征 <input type="text" style="width:250px;" value="weevely 加密shell">     '.$path.'<p></p>'; flush(); ob_flush();
        }elseif(callbackshell($path)){
                echo '特征 <input type="text" style="width:250px;" value="Callback shell">     '.$path.'<p></p>'; flush(); ob_flush();
        }
            foreach($matches as $matche) {
                $array = array();
                preg_match($matche,$code,$array);
                if(!$array) continue;
                if(strpos($array[0],"\x24\x74\x68\x69\x73\x2d\x3e")) continue;
                $len = strlen($array[0]);
                if($len > 6 && $len < 200) {
                    echo '特征 <input type="text" style="width:250px;" value="'.htmlspecialchars($array[0]).'">    '.$path.'<p></p>';
                    flush(); ob_flush(); break;
                }
            }
            unset($code,$array);
        }
    }
    closedir($handle);
    return true;
}
function strdir($str) { return str_replace(array('\\','//','//'),array('/','/','/'),chop($str)); }
echo '<form method="POST">';
echo '路径: <input type="text" name="dir" value="'.($_POST['dir'] ? strdir($_POST['dir'].'/') : strdir($_SERVER['DOCUMENT_ROOT'].'/')).'" style="width:398px;"><p></p>';
echo '后缀: <input type="text" name="exs" value="'.($_POST['exs'] ? $_POST['exs'] : '.php|.inc|.phtml').'" style="width:398px;"><p></p>';
echo '操作: <input type="submit" style="width:80px;" value="scan"><p></p>';
echo '</form>';
if(file_exists($_POST['dir']) && $_POST['exs']) {
    $dir = strdir($_POST['dir'].'/');
    $exs = '/('.str_replace('.','\\.',$_POST['exs']).')/i';
    echo antivirus($dir,$exs,$matches) ? '</br ><p></p>扫描完毕!' : '</br > <p></p>扫描中断';
}
?>
</html>

内容总结

以上是互联网集市为您收集整理的PHP中webshell扫描文件木马的方法详解全部内容，希望文章能够帮你解决PHP中webshell扫描文件木马的方法详解所遇到的程序开发问题。如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容，请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/136365.html

来源：【匿名】

【上一篇】php中readfile()函数设置文件大小的方法【下一篇】PHP 5 数据对象 (PDO) 抽象层与 Oracle

更多 ►

【PHP中webshell扫描文件木马的方法详解】教程文章相关的互联网学习教程文章

shell传参给php，并接收php的返回结果【代码】

shell#!/bin/bash host=${DB_HOST} dbname=${DB_NAME} user=${DB_USER} pwd=${DB_PWD} # 只能通过单字母传参数 create_res=`php ${cur_dir}/init/createdb.php -h $host -u $user -p $pwd -d $dbname` if [[ "$create_res" = 1 ]]; thenEcho_Green "create database $dbname ok." else Echo_Red "create database $dbname fail." fi php<?php header("Content-Type: text/html;charset=utf-8"); error_reporting(E_ALL | E_ST...

php shell_exec exec system 几种操作系统命令的函数

system()$last_line = system(‘ls‘, $return_var);system() 会将输出内容直接印出, 所以若于网页, 会将所有回传内容都显示于页面上.$last_line: 只能取得最后一行的内容$return_var: 取得系统状态回传码exec()exec(‘ls‘, $output, $return_var);$output: 回传内容都会存于此变数中(储存成阵列), 不会直接秀在页面上.$return_var: 取得系统状态回传码shell_exec()$output = shell_exec(‘ls‘);$output: 回传内容都会存于此变数...

php利用root权限执行shell脚本（转）

转一篇博客，之前搞这个东西搞了好久，结果今天晚上看到了一篇救命博客，瞬间开心了。。。转载转载利用sudo来赋予Apache的用户root的执行权限，下面记录一下：利用PHP利用root权限执行shell脚本必须进行以下几个步骤：（所有步骤都是我亲自实验，若有不妥可指出，谢谢！）1. 确定一下你的Apache的执行用户是谁。注：不一定就是nobody，我自行安装的httpd，我的Apache的用户就是daemon2. 利用visudo为你的Apache执行用户赋予root执行...

PHP Web Shell in browser【代码】

/************************************************************************************** PHP Web Shell in browser* 说明：* 在浏览器中执行shell命令，可以省区telnet或者SSH。* * 2017-1-1 深圳南山平山村曾剑锋*************************************************************************************一、参考文档：1. PHP Shellhttp:...

php版网站站打包程序【配合webshell】（原创）【代码】【图】

因为大马只能下载一些单文件，无法下载文件夹里的文件，所以花费一些时间写了一个PHP脚本，打包全站数据，在此分享！切勿做违法事情！使用方法：1、将该程序上传到网站的目录下，如/zip.php ；2、在浏览器中访问程序 http://www.xuetong365.com/zip.php ；3、将出现上图所示界面，可按照提示说明进行相关的操作；4、点击压缩，稍等片刻（根据网站数据量的大小等待的时间不同），即可压缩完成；5、压缩完成后会显示压缩文件的下...

不使用数字和字母的PHP webshell【代码】【图】

Round 1代码如下：<?php if(!preg_match(‘/[a-z0-9]/is‘,$_GET[‘shell‘])) {eval($_GET[‘shell‘]); }思路将非字母、数字的字符经过各种变换，最后能构造出a-z中任意一个字符。然后再利用PHP允许动态函数执行的特点，拼接处一个函数名，如“assert”，然后动态执行之即可。那么，变换方法将是解决本题的要点。不过在此之前，需要了解php5和PHP7的一些差异。php5中assert是一个函数，我们可以通过$f=‘assert‘;$f(...);这样的...

PHP 命令行工具 shell_exec, exec, passthru, system详细使用介绍【图】

所有这些命令都衍生一个子进程，用于运行您指定的命令或脚本，并且每个子进程会在命令输出写到标准输出 (stdout) 时捕捉它们。 shell_exec() shell_exec() 命令行实际上仅是反撇号 (`) 操作符的变体。如果您编写过 shell 或 Perl 脚本，您就知道可以在反撇号操作符内部捕捉其他命令的输出。例如，清单 1 显示了如何使用反撇号在当前目录中获取每个文本（.txt）的单词计数。清单 1. 使用反撇号计算单词数量复制代码代码如下:#! /...

shell跑一个PHP脚本的简单命令

最近在做一个刷数据库的小功能，需要批量添加到不同的表中，写好PHP文件之后，登录到某一个服务器上面上传文件的命令：rz 会出现一个弹框可以选择要上传的文件执行文件并报错误的命令：/usr/local/php-5.6.10/bin/php -nl sousuojieguo.php 其中php-5.6.10是服务其中PHP的版本执行文件不报错：/usr/local/php-5.6.10/bin/php sousuojieguo.php查看目录下面的文件:ls下载某个文件：sz sousuojieguo.php查看某个某件：cat sousu...

Ruby、PHP、Shell实现求50以内的素数

ruby求50之内的素数的方法，感觉对比PHP和SHELL方法是最简单的，但SHELL中可以利用factor命令，而PHP中没有求素数的对应函数的，需要自己设计算法，三种方式大家对比学习下，应该还有更优更简单的方法的。复制代码代码如下: #encoding:utf-8 #求50以内的素数(注意数字中..与...的区别) for i in 2..50 #1默认不为素数，所以从1-50范围内被排除 f=true #起始假定每个数都是素数 for p in 2...i #比自身小的正整数（1和自...

利用perl、python、php、shell、sed、awk、c 实现字符串的翻转

原题：Q：有a.txt文件，里面内容如下 1234569 abcABCabc 要求使用awk打印出以下结果 987654321 cbaCBAcbaA：shell ：[root@vps tmp]# rev a.txt 9654321 cbaCBAcbaperl ： [root@vps tmp]# perl -nle ‘print scalar reverse $_;‘ a.txt 9654321 cbaCBAcbaawk： [root@vps tmp]# awk ‘{num=split($0,arr,”");for(i=num;i>0;i–){printf arr[i];if(i==1){printf “\n”}}}‘ a.txt 9654321 cbaCBAcbaphp： [root@vps tmp]# php ...

用PHP和Shell写Hadoop的MapReduce程序_php实例

使得任何支持标准IO (stdin, stdout)的可执行程序都能成为hadoop的mapper或者 reducer。例如：代码如下:hadoop jar hadoop-streaming.jar -input SOME_INPUT_DIR_OR_FILE -output SOME_OUTPUT_DIR -mapper /bin/cat -reducer /usr/bin/wc 在这个例子里，就使用了Unix/Linux自带的cat和wc工具来作为mapper / reducer，是不是很神奇？如果你习惯了使用一些动态语言，用动态语言来写mapreduce吧，跟之前的编程没有任何不同，hadoop只...

用PHP和Shell写Hadoop的MapReduce程序_PHP教程

用PHP和Shell写Hadoop的MapReduce程序

PHP调用SHELL下传本地文件到Hadoop的hdfs中

PHP调用SHELL上传本地文件到Hadoop的hdfs中本来是用Thrift进行上传，但其上传效率之低，另人发指，只好选用其它方法。环境： php 运行环境为nginx + php-fpm因为hadoop开启了权限控制，所以直接使用php调用shel进行上传时，没有权限。通过php执行命令看来，php运行的帐户和级均为nobody。因此，解决方法有两个：一，在hadoop的shell中创建目录，并把目录的所有者赋给nobody组的nobody用户。二，原来的目录权限放开，使用777。下面详...

php通过shell调用Hadoop的方法

1.php代码(index.php) body{background-color:red} ";}?> 2.shell代码（hadoop.sh） #!/bin/bashecho "wordCount test start"rm -rf ~/file_20141024mkdir ~/file_20141024cd ~/file_20141024echo "Hello World" > file1.txtecho "Hello China Beijing" > file2.txtcd /home/work/hadoop/bin ./hadoop dfs -rmr input_20141024./hadoop dfs -rmr output_20141024./hadoop fs -mkdir input_20141024#hadoop fs -ch...

首页 / PHP / PHP中webshell扫描文件木马的方法详解

PHP中webshell扫描文件木马的方法详解

内容导读

内容图文

相关推荐：

内容总结

内容备注

内容手机端

【PHP中webshell扫描文件木马的方法详解】教程文章相关的互联网学习教程文章

shell传参给php，并接收php的返回结果【代码】

php shell_exec exec system 几种操作系统命令的函数

php利用root权限执行shell脚本（转）

PHP Web Shell in browser【代码】

php版网站站打包程序【配合webshell】（原创）【代码】【图】

不使用数字和字母的PHP webshell【代码】【图】

PHP 命令行工具 shell_exec, exec, passthru, system详细使用介绍【图】

shell跑一个PHP脚本的简单命令

Ruby、PHP、Shell实现求50以内的素数

利用perl、python、php、shell、sed、awk、c 实现字符串的翻转

用PHP和Shell写Hadoop的MapReduce程序_php实例

用PHP和Shell写Hadoop的MapReduce程序_PHP教程

用PHP和Shell写Hadoop的MapReduce程序

PHP调用SHELL下传本地文件到Hadoop的hdfs中

php通过shell调用Hadoop的方法

WEBSHELL - 相关标签

PHP - 相关标签

文件 - 相关标签

PHP - 技术教程分类

PHP - 最新教程

PHP - 最热教程