首页 / PHP / PHP实现webshell扫描文件木马的方法

PHP实现webshell扫描文件木马的方法

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了PHP实现webshell扫描文件木马的方法，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含7110字，纯文字阅读大概需要11分钟。

内容图文

本文实例讲述了PHP实现webshell扫描文件木马的方法。分享给大家供大家参考，具体如下：

可扫描 weevelyshell 生成或加密的shell 及各种变异webshell

目前仅支持php

支持扫描 weevelyshell 生成或加密的shell
支持扫描callback一句话shell
支持各种php大马

<!DOCTYPE html>
<html>
<head>
    <meta charset='gb2312'>
    <title>PHP web shell scan</title>
</head>
<body>
</body>
<?php
define("SELF",php_self());
error_reporting(E_ERROR);
ini_set('max_execution_time',20000);
ini_set('memory_limit','512M');
header("content-Type: text/html; charset=gb2312");
function weevelyshell($file){
    $content=file_get_contents($file);
    if(
        (
        preg_match('#(\$\w{2,4}\s?=\s?str_replace\("\w+","","[\w_]+"\);\s?)+#s',$content)&&
      preg_match('#(\$\w{2,4}\s?=\s?"[\w\d\+\/\=]+";\s?)+#',$content)&&               preg_match('#\$[\w]{2,4}\s?=\s\$[\w]{2,4}\(\'\',\s?\$\w{2,4}\(\$\w{2,4}\("\w{1,4}",\s?"",\s?\$\w{2,4}\.\$\w{2,4}\.\$\w{2,4}\.\$\w{2,4}\)\)\);\s+?\$\w{2,4}\(\)\;#',$content))
          ||
          (preg_match('#\$\w+\d\s?=\s?str_replace\(\"[\w\d]+\",\"\",\"[\w\d]+\"\);#s',$content)&&
        preg_match('#\$\w+\s?=\s?\$[\w\d]+\(\'\',\s?\$[\w\d]+\(\$\w+\(\$\w+\(\"[[:punct:]]+\",\s?\"\",\s?\$\w+\.\$\w+\.\$\w+\.\$\w+\)\)\)\);\s?\$\w+\(\);#s',$content))
        ){
        return true;
    }
}
function callbackshell($file){
    $content=file_get_contents($file);
    if(
        preg_match('#\$\w+\s?=\s?\$_(?:GET|POST|REQUEST|COOKIE|SERVER)\[.*?\]#is',$content)&&
        preg_match('#\$\w+\s?=\s?(?:new)?\s?array\w*\s?\(.*?_(?:GET|POST|REQUEST|COOKIE|SERVER)\[.*?\].*?\)+#is',$content)&&
        preg_match('#(?:array_(?:reduce|map|udiff|walk|walk_recursive|filter)|u[ak]sort)\s?\(.*?\)+?#is',$content)
        )
            return true;
}
function php_self(){
  $php_self=substr($_SERVER['PHP_SELF'],strrpos($_SERVER['PHP_SELF'],'/')+1);
  return $php_self;
}
$matches = array(
        '/mb_ereg_replace\([\'\*\s\,\.\"]+\$_(?:GET|POST|REQUEST|COOKIE|SERVER)\[[\'\"].*?[\'\"][\]][\,\s\'\"]+e[\'\"]'/is,
        '/preg_filter\([\'\"\|\.\*e]+.*\$_(?:GET|POST|REQUEST|COOKIE|SERVER)/is',
        '/create_function\s?\(.*assert\(/is',
        '/ini_get\(\'safe_mode\'\)/i',
        '/get_current_user\(.*?\)/i',
        '/@?assert\s?\(\$.*?\)/i',
        '/proc_open\s?\(.*?pipe\',\s?\'w\'\)/is',
    '/sTr_RepLaCe\s?\([\'\"].*?[\'\"],[\'\"].*?[\'\"]\s?,\s?\'a[[:alnum:][:punct:]]+?s[[:alnum:][:punct:]]+?s[[:alnum:][:punct:]]+?e[[:alnum:][:punct:]]+?r[[:alnum:][:punct:]]+?t[[:alnum:][:punct:]]+?\)/i',
        '/preg_replace_callback\(.*?create_function\(/is',
        '/filter_var(?:_array)?\s?.*?\$_(?:GET|POST|REQUEST|COOKIE|SERVER)\[[\'\"][[:punct:][:alnum:]]+[\'\"]\][[:punct:][:alnum:][:space:]]+?assert[\'\"]\)/is',
        '/ob_start\([\'\"]+assert[\'\"]+\)/is',
        '/new\s?ReflectionFunction\(.*?->invoke\(/is',
      '/PDO::FETCH_FUNC/',
        '/\$\w+.*\s?(?:=|->)\s?.*?[\'\"]assert[\'\"]\)?/i',
        '/\$\w+->(?:sqlite)?createFunction\(.*?\)/i',
        '/eval\([\"\']?\\\?\$\w+\s?=\s?.*?\)/i',
        '/eval\(.*?gzinflate\(base64_decode\(/i',
        '/copy\(\$HTTP_POST_FILES\[\'\w+\'\]\s?\[\'tmp_name\'\]/i',
        '/register_(?:shutdown|tick)_function\s?\(\$\w+,\s\$_(?:GET|POST|REQUEST|COOKIE|SERVER)\[.*?\]\)/is',
        '/register_(?:shutdown|tick)_function\s?\(?[\'\"]assert[\"\'].*?\)/i',
        '/call_user_func.*?\([\"|\']assert[\"|\'],.*\$_(?:GET|POST|REQUEST|COOKIE|SERVER)\[[\'|\"].*\]\)+/is',
      '/preg_replace\(.*?e.*?\'\s?,\s?.*?\w+\(.*?\)/i',
    '/function_exists\s*\(\s*[\'|\"](popen|exec|proc_open|system|passthru)+[\'|\"]\s*\)/i',
    '/(exec|shell_exec|system|passthru)+\s*\(\s*\$_(\w+)\[(.*)\]\s*\)/i',
    '/(exec|shell_exec|system|passthru)+\s*\(\$\w+\)/i',
    '/(exec|shell_exec|system|passthru)\s?\(\w+\(\"http_.*\"\)\)/i',
         '/(?:john\.barker446@gmail\.com|xb5@hotmail\.com|shopen@aventgrup\.net|milw0rm\.com|www\.aventgrup\.net|mgeisler@mgeisler\.net)/i',
      '/Php\s*?Shell/i',
    '/((udp|tcp)\:\/\/(.*)\;)+/i',
    '/preg_replace\s*\((.*)\/e(.*)\,\s*\$_(.*)\,(.*)\)/i',
    '/preg_replace\s*\((.*)\(base64_decode\(\$/i',
    '/(eval|assert|include|require|include_once|require_once)+\s*\(\s*(base64_decode|str_rot13|gz(\w+)|file_(\w+)_contents|(.*)php\:\/\/input)+/i',
    '/(eval|assert|include|require|include_once|require_once|array_map|array_walk)+\s*\(.*?\$_(?:GET|POST|REQUEST|COOKIE|SERVER|SESSION)+\[(.*)\]\s*\)/i',
    '/eval\s*\(\s*\(\s*\$\$(\w+)/i',
      '/((?:include|require|include_once|require_once)+\s*\(?\s*[\'|\"]\w+\.(?!php).*[\'|\"])/i',
    '/\$_(\w+)(.*)(eval|assert|include|require|include_once|require_once)+\s*\(\s*\$(\w+)\s*\)/i',
    '/\(\s*\$_FILES\[(.*)\]\[(.*)\]\s*\,\s*\$_(GET|POST|REQUEST|FILES)+\[(.*)\]\[(.*)\]\s*\)/i',
    '/(fopen|fwrite|fputs|file_put_contents)+\s*\((.*)\$_(GET|POST|REQUEST|COOKIE|SERVER)+\[(.*)\](.*)\)/i',
    '/echo\s*curl_exec\s*\(\s*\$(\w+)\s*\)/i',
    '/new com\s*\(\s*[\'|\"]shell(.*)[\'|\"]\s*\)/i',
    '/\$(.*)\s*\((.*)\/e(.*)\,\s*\$_(.*)\,(.*)\)/i',
    '/\$_\=(.*)\$_/i',
    '/\$_(GET|POST|REQUEST|COOKIE|SERVER)+\[(.*)\]\(\s*\$(.*)\)/i',
    '/\$(\w+)\s*\(\s*\$_(GET|POST|REQUEST|COOKIE|SERVER)+\[(.*)\]\s*\)/i',
    '/\$(\w+)\s*\(\s*\$\{(.*)\}/i',
    '/\$(\w+)\s*\(\s*chr\(\d+\)/i'
);
function antivirus($dir,$exs,$matches) {
    if(($handle = @opendir($dir)) == NULL) return false;
    while(false !== ($name = readdir($handle))) {
        if($name == '.' || $name == '..') continue;
        $path = $dir.$name;
        if(strstr($name,SELF)) continue;
        //$path=iconv("UTF-8","gb2312",$path);
        if(is_dir($path)) {
            //chmod($path,0777);/*主要针对一些0111的目录*/
            if(is_readable($path)) antivirus($path.'/',$exs,$matches);
        } elseif(strpos($name,';') > -1 || strpos($name,'%00') > -1 || strpos($name,'/') > -1) {
            echo '特征 <input type="text" style="width:250px;" value="解析漏洞">     '.$path.'<div></div>'; flush(); ob_flush();
        }
        else {
            if(!preg_match($exs,$name)) continue;
            if(filesize($path) > 10000000) continue;
            $fp = fopen($path,'r');
            $code = fread($fp,filesize($path));
            fclose($fp);
            if(empty($code)) continue;
            if(weevelyshell($path)){
            echo '特征 <input type="text" style="width:250px;" value="weevely 加密shell">     '.$path.'<div></div>'; flush(); ob_flush();
        }elseif(callbackshell($path)){
                echo '特征 <input type="text" style="width:250px;" value="Callback shell">     '.$path.'<div></div>'; flush(); ob_flush();
        }
            foreach($matches as $matche) {
                $array = array();
                preg_match($matche,$code,$array);
                if(!$array) continue;
                if(strpos($array[0],"\x24\x74\x68\x69\x73\x2d\x3e")) continue;
                $len = strlen($array[0]);
                if($len > 6 && $len < 200) {
                    echo '特征 <input type="text" style="width:250px;" value="'.htmlspecialchars($array[0]).'">    '.$path.'<div></div>';
                    flush(); ob_flush(); break;
                }
            }
            unset($code,$array);
        }
    }
    closedir($handle);
    return true;
}
function strdir($str) { return str_replace(array('\\','//','//'),array('/','/','/'),chop($str)); }
echo '<form method="POST">';
echo '路径: <input type="text" name="dir" value="'.($_POST['dir'] ? strdir($_POST['dir'].'/') : strdir($_SERVER['DOCUMENT_ROOT'].'/')).'" style="width:398px;"><div></div>';
echo '后缀: <input type="text" name="exs" value="'.($_POST['exs'] ? $_POST['exs'] : '.php|.inc|.phtml').'" style="width:398px;"><div></div>';
echo '操作: <input type="submit" style="width:80px;" value="scan"><div></div>';
echo '</form>';
if(file_exists($_POST['dir']) && $_POST['exs']) {
    $dir = strdir($_POST['dir'].'/');
    $exs = '/('.str_replace('.','\\.',$_POST['exs']).')/i';
    echo antivirus($dir,$exs,$matches) ? '</br ><div></div>扫描完毕!' : '</br > <div></div>扫描中断';
}
?>
</html>

更多关于PHP相关内容感兴趣的读者可查看本站专题：《php程序设计安全教程》、《php安全过滤技巧总结》、《PHP运算与运算符用法总结》、《PHP网络编程技巧总结》、《PHP基本语法入门教程》、《php面向对象程序设计入门教程》、《php字符串(string)用法总结》、《php+mysql数据库操作入门教程》及《php常见数据库操作技巧汇总》

希望本文所述对大家PHP程序设计有所帮助。

内容总结

以上是互联网集市为您收集整理的PHP实现webshell扫描文件木马的方法全部内容，希望文章能够帮你解决PHP实现webshell扫描文件木马的方法所遇到的程序开发问题。如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容，请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/273211.html

来源：【匿名】

【上一篇】php中文乱码问题的终极解决方案汇总【下一篇】PHP 5 数据对象 (PDO) 抽象层与 Oracle

更多 ►

【PHP实现webshell扫描文件木马的方法】教程文章相关的互联网学习教程文章

分享脚本，同一个问题，php和shell的写法

关于写脚本，1 2 3 5 8 13 .............用脚本写出，第一百个数是什么shell:##########下面是脚本内容###########!/bin/bashfor((i=1;i<=100;i++))do if [ $i -eq 1 ];then let s[1]=1 elif [ $i -eq 2 ];then let s[2]=2 else let s[$i]=s[i-1]+s[i-2] fidone echo "$((s[100]))"##########shell脚本到此为止####值得注意的是，let做数学运算不用使用$，最后输出第一百个数的时候，要加上(())，否则只会输出...

PHP执行外部命令总结（exec、system、passthru、shell_exec）【代码】

具体区别如下：$command = ‘whoami‘;//不直接输入结果内容，命令执行结果的最后一行内容，第二个参数可获取到所有返回结果，每行结果作为一个数组记录，第三个参数返回命令执行的状态码，0代表成功1失败$resultData =exec($command,$output,$returnVal);//直接将结果输出到浏览器，成功则返回命令输出的最后一行，失败则返回 FALSE,第二个参数返回命令执行的状态码，0代表成功1失败$resultData = system($command,$returnVal);...

php168 v6/v7鸡肋Getshell安全问题

刚搜了一下貌似和以前一个漏洞是一个问题。有点鸡肋，需要条件：　　1.网站配置为：文章生成真静态　　2.允许注册会员　　给出v6的测试代码，提交后执行phpinfo()，v7原理一样，只是数据库字段数不一样。　　member/list.php?step=2&Type=delete&aidDB[]=-1)%20union%20select%201,2,3,4,5,6,7,8,9,10,1,2,3,4,15,6,7,8,9,10,1,2,3,4,25,6,7,8,9,10,1,2,3,4,35,6,7,8,9,10,1,2,3,4,45,6,7,8,9,10,1,2,3,4,0x7B247B706870696E666F28...

php 执行shell命令打印错误信息【代码】

$cmd = "rm 1.txt";//删除一个不存在的文件，查看报错信息 $res = doShell($cmd); var_dump($res); //该函数没有限制条件，可以直接放在代码中使用 function doShell($cmd,$cwd=null) { $descriptorspec = array( 0 => array("pipe", "r"), // stdin 1 => array("pipe", "w"), // stdout 2 => array("pipe", "w") // stderr );// $cmd = ‘./test.sh‘; // 替换为你要执行的she...

PHP Webshell 下的端口反弹方法【图】

使用方法：需要将以下代码保存为一个单独的php文件。上传到服务器之后，本地NC监听一个端口，在代码里设置好反弹IP和端口，然后直接访问上传的php文件，就会给 NC 弹回来一个shell。测试实例：先在本地执行 nc -vv -l -p port，然后访问这个php页面 http://www.site.com/phpdkft.php ，本地就会得到一个反弹的shell。这样每次可以直接访问这个php页面，直接弹回来shell，不用做其他繁琐的操作，下面贴出来已经修改好的代码复制代...

PHPwebshell分析【代码】

这几天已知在做webshell的检测，JSP的不说了，特征检测起来很好匹配到，而且全是一家亲，互相模仿的居多。今天看了一篇文章，看到14年蘑菇的webshell的后门然后很不错。============================================是按位取反。~PHP: 位运算符 - http://www.php.net/manual/zh/language.operators.bitwise.php~ $a Not（按位取反）将 $a 中为 0 的位设为 1，反之亦然。PHP 的 ini 设定 error_reporting 使用了按位的值，提供了关...

shell传参给php，并接收php的返回结果【代码】

shell#!/bin/bash host=${DB_HOST} dbname=${DB_NAME} user=${DB_USER} pwd=${DB_PWD} # 只能通过单字母传参数 create_res=`php ${cur_dir}/init/createdb.php -h $host -u $user -p $pwd -d $dbname` if [[ "$create_res" = 1 ]]; thenEcho_Green "create database $dbname ok." else Echo_Red "create database $dbname fail." fi php<?php header("Content-Type: text/html;charset=utf-8"); error_reporting(E_ALL | E_ST...

php shell_exec exec system 几种操作系统命令的函数

system()$last_line = system(‘ls‘, $return_var);system() 会将输出内容直接印出, 所以若于网页, 会将所有回传内容都显示于页面上.$last_line: 只能取得最后一行的内容$return_var: 取得系统状态回传码exec()exec(‘ls‘, $output, $return_var);$output: 回传内容都会存于此变数中(储存成阵列), 不会直接秀在页面上.$return_var: 取得系统状态回传码shell_exec()$output = shell_exec(‘ls‘);$output: 回传内容都会存于此变数...

php利用root权限执行shell脚本（转）

转一篇博客，之前搞这个东西搞了好久，结果今天晚上看到了一篇救命博客，瞬间开心了。。。转载转载利用sudo来赋予Apache的用户root的执行权限，下面记录一下：利用PHP利用root权限执行shell脚本必须进行以下几个步骤：（所有步骤都是我亲自实验，若有不妥可指出，谢谢！）1. 确定一下你的Apache的执行用户是谁。注：不一定就是nobody，我自行安装的httpd，我的Apache的用户就是daemon2. 利用visudo为你的Apache执行用户赋予root执行...

PHP Web Shell in browser【代码】

/************************************************************************************** PHP Web Shell in browser* 说明：* 在浏览器中执行shell命令，可以省区telnet或者SSH。* * 2017-1-1 深圳南山平山村曾剑锋*************************************************************************************一、参考文档：1. PHP Shellhttp:...

php版网站站打包程序【配合webshell】（原创）【代码】【图】

因为大马只能下载一些单文件，无法下载文件夹里的文件，所以花费一些时间写了一个PHP脚本，打包全站数据，在此分享！切勿做违法事情！使用方法：1、将该程序上传到网站的目录下，如/zip.php ；2、在浏览器中访问程序 http://www.xuetong365.com/zip.php ；3、将出现上图所示界面，可按照提示说明进行相关的操作；4、点击压缩，稍等片刻（根据网站数据量的大小等待的时间不同），即可压缩完成；5、压缩完成后会显示压缩文件的下...

不使用数字和字母的PHP webshell【代码】【图】

Round 1代码如下：<?php if(!preg_match(‘/[a-z0-9]/is‘,$_GET[‘shell‘])) {eval($_GET[‘shell‘]); }思路将非字母、数字的字符经过各种变换，最后能构造出a-z中任意一个字符。然后再利用PHP允许动态函数执行的特点，拼接处一个函数名，如“assert”，然后动态执行之即可。那么，变换方法将是解决本题的要点。不过在此之前，需要了解php5和PHP7的一些差异。php5中assert是一个函数，我们可以通过$f=‘assert‘;$f(...);这样的...

PHP 命令行工具 shell_exec, exec, passthru, system详细使用介绍【图】

所有这些命令都衍生一个子进程，用于运行您指定的命令或脚本，并且每个子进程会在命令输出写到标准输出 (stdout) 时捕捉它们。 shell_exec() shell_exec() 命令行实际上仅是反撇号 (`) 操作符的变体。如果您编写过 shell 或 Perl 脚本，您就知道可以在反撇号操作符内部捕捉其他命令的输出。例如，清单 1 显示了如何使用反撇号在当前目录中获取每个文本（.txt）的单词计数。清单 1. 使用反撇号计算单词数量复制代码代码如下:#! /...

shell跑一个PHP脚本的简单命令

最近在做一个刷数据库的小功能，需要批量添加到不同的表中，写好PHP文件之后，登录到某一个服务器上面上传文件的命令：rz 会出现一个弹框可以选择要上传的文件执行文件并报错误的命令：/usr/local/php-5.6.10/bin/php -nl sousuojieguo.php 其中php-5.6.10是服务其中PHP的版本执行文件不报错：/usr/local/php-5.6.10/bin/php sousuojieguo.php查看目录下面的文件:ls下载某个文件：sz sousuojieguo.php查看某个某件：cat sousu...

Ruby、PHP、Shell实现求50以内的素数

ruby求50之内的素数的方法，感觉对比PHP和SHELL方法是最简单的，但SHELL中可以利用factor命令，而PHP中没有求素数的对应函数的，需要自己设计算法，三种方式大家对比学习下，应该还有更优更简单的方法的。复制代码代码如下: #encoding:utf-8 #求50以内的素数(注意数字中..与...的区别) for i in 2..50 #1默认不为素数，所以从1-50范围内被排除 f=true #起始假定每个数都是素数 for p in 2...i #比自身小的正整数（1和自...

首页 / PHP / PHP实现webshell扫描文件木马的方法

PHP实现webshell扫描文件木马的方法

内容导读

内容图文

内容总结

内容备注

内容手机端

【PHP实现webshell扫描文件木马的方法】教程文章相关的互联网学习教程文章

分享脚本，同一个问题，php和shell的写法

PHP执行外部命令总结（exec、system、passthru、shell_exec）【代码】

php168 v6/v7鸡肋Getshell安全问题

php 执行shell命令打印错误信息【代码】

PHP Webshell 下的端口反弹方法【图】

PHPwebshell分析【代码】

shell传参给php，并接收php的返回结果【代码】

php shell_exec exec system 几种操作系统命令的函数

php利用root权限执行shell脚本（转）

PHP Web Shell in browser【代码】

php版网站站打包程序【配合webshell】（原创）【代码】【图】

不使用数字和字母的PHP webshell【代码】【图】

PHP 命令行工具 shell_exec, exec, passthru, system详细使用介绍【图】

shell跑一个PHP脚本的简单命令

Ruby、PHP、Shell实现求50以内的素数

WEBSHELL - 相关标签

PHP - 相关标签

文件 - 相关标签

PHP - 技术教程分类

PHP - 最新教程

PHP - 最热教程