php后门,php后门扫描

一个有意思的php一句话后门,怎么破?

1、问题的核心在于理解密码生成机制。当注释全部移除后，关键在于POST数组的key是一个算术运算，最终结果为-16。为了验证这个结果，可以尝试使用以下POST数据：通过执行此操作，就能获知密码。至于使用NeoPI查杀脚本木马的效果，个人并不认为十分理想。

2、这是明显的一句话木马，权限很强大，可以做权限内的任何事情。FTP删除不掉可能是因为黑客设置了权限，可以联系空间商协助删除，另外可以建议他们安装一个护卫神入侵防护系统，自动监控木马并隔离或删除。

3、这是php一句话木马，通过菜刀等工具可以上传或执行命令。

关于PHP中的webshell

1、webshell是一种在web环境中存在的命令执行环境，它能被黑客利用入侵网站服务器。webshell实际上是一种后门工具，常以asp、php、jsp或cgi形式存在。黑客入侵网站后，将后门文件混入正常网页文件中，利用浏览器访问这些后门文件，获得命令执行环境，进而控制服务器。webshell的本质是web与shell的结合。

2、静态特征： PHP和ASP：常使用eval函数执行经过Base64编码的代码。这种编码方式使得恶意代码更加隐蔽，不易被直接识别。 JSP：则倾向于利用ClassLoader处理恶意代码，这同样是一种隐藏恶意行为的技术手段。动态特征： 加密通信：WebShell会采用如AES加密、Base64编码等技术，确保恶意代码在传输过程中的安全性。

3、本文将深入探讨几种实现webshell免杀的策略，主要关注于PHP、JSP及ASPX环境。免杀策略依赖于利用不同版本间的语法差异，以及特殊符号和字符集的巧妙运用，以绕过安全防护。对于PHP环境，通过利用版本差异实现免杀策略尤为重要。利用不同版本的语法差异，可以有效绕过某些安全检测。

4、Webshell编写语言主要包括asp、jsp和php。本文将以php Webshell为例，详细解释Webshell的常用函数、工作方式以及常用隐藏技术。为何Webshell备受黑客青睐黑客使用Webshell的第一步是将其上传至可访问的服务器中，如利用CMS系统的第三方插件中的漏洞上传一个简单的php Webshell。

5、一句话木马的核心原理是利用脚本语言的特定函数执行恶意指令。例如，PHP木马中使用`eval()`函数执行括号内的代码，并通过`$_POST[password]`获取用户提交的密码值。对于初学者而言，可能难以理解。但随着学习深入，会逐步明白。常见的数据传递方式有POST、GET等，后续文章将详细讨论。

.user.ini文件构成的PHP后门

1、尽管如此，.user.ini文件仍然为构建后门提供了一条路径。PHP配置项中的auto_append_file和auto_prepend_file两个选项显得格外有趣。通过在.user.ini文件中设置这些选项，可以实现自动包含指定文件，从而在执行的PHP文件前或后注入代码。

2、在网络安全中，.user.ini文件常常被用作创建PHP后门的一种方法。相较于.htaccess文件，.user.ini更为通用，适用于Nginx、Apache以及IIS等不同的服务器环境，只要使用fastcgi运行PHP，皆可使用此方法。作者在多款服务器上进行了测试，并总结了.user.ini文件的使用与特性。

3、.user.ini风格的INI文件仅识别模式为“PHP_INI_PERDIR”和“PHP_INI_USER”的设置。.user.ini实际上允许用户自定义php.ini配置，通过用户自定义设置，可制造后门。

4、新建php文件，写入如下代码保存，然后在浏览器访问该页面，搜索php.ini，恭喜你，你要找的php.ini文件位置已经找到了。

5、在PHP中，按位取反(~)运算符能够将一个整数的二进制位进行反转。如果原数的某位是0，则该位变为1，反之亦然。这个特性在某些场景下可以用来绕过安全机制，创建后门。例如，通过将按位取反运算应用于错误报告的配置，可以实现特定错误的隐藏。

6、理解.user.ini文件的用途 简单来说，.user.ini文件与.htaccess在特定情境下的作用相同，而.htaccess的使用方式大家已经很熟悉。.user.ini文件相当于php.ini的功能。理解使用条件 使用场景需具备PHP_INI_PERDIR和PHP_INI_USER模式的INI设置。

PHPStudy后门事件分析

在案件过程中，警方发现马某等人通过分析“盗取”的数据，得到多个境外网站的管理后台账号密码，并通过修改服务器数据的方式实施诈骗。对于此次事件，服务器密码和用户密码应立即更改，以防密码泄露。希望有经验的表哥提供排除后门的方案，以确保服务器安全。

后门功能分析包括两个PHP脚本：一个用于模拟GET请求，另一个则内置了域名表和端口表，通过遍历发送数据。执行流程和构造有效载荷的细节则需根据具体原理进行构建。为了验证漏洞的存在，可以使用漏洞插件，如长亭科技xray社区漏洞扫描器。此插件能够帮助快速验证受影响的站点，并提供相应的检测规则和链接。

此案揭示黑客早在2016年就潜伏并利用“后门”侵入PhpStudy的官网，篡改软件安装包。该“后门”具有控制计算机的功能，可远程控制下载运行脚本收集用户个人信息。大量电脑被利用，用户账号密码、设备数据、敏感信息被远程抓取。

针对phpStudy中的RCE漏洞，攻击者可以利用该漏洞执行PHP命令，被称作phpStudy后门。此漏洞等级被评定为高危，影响的版本包括php-17和php-45中的php_xmlrpc.dll文件。识别漏洞的方法是在相关文件中查找特定字符串“@eva”，存在此字符串则表示存在后门。

PHP中使用按位取反(~)函数创建后门

1、在PHP中，按位取反(~)运算符能够将一个整数的二进制位进行反转。如果原数的某位是0，则该位变为1，反之亦然。这个特性在某些场景下可以用来绕过安全机制，创建后门。例如，通过将按位取反运算应用于错误报告的配置，可以实现特定错误的隐藏。

2、按位反转即“按位取反”，特指按位取反运算符～，这是一元运算法，对数据的每个二进制位取反，由此【1变为0，把0变为1】。 例如：0010101～1101010值得注意的数，～运算符与-运算符不同，～21≠-21。求python取原码、补码、反码的方法或函数 原码：原码是二进制数字的一种简单的表示法。

3、~按位取反。&按位与。假设$powbit的值是9，换成2进制：1001，按位反后就是0110（6）；然后假设$val是12（1100），与6（0110）按位与后是0100（4）；即是$ret就等于4。

Phpstudy官网于2016年被入侵,犯罪分子篡改软件并植入后门

1、杭州警方通报打击涉网违法犯罪暨“净网2019”专项行动战果中提及一起案件，涉及2016年Phpstudy软件被入侵事件。Phpstudy是一款免费的PHP调试环境集成包，集成Apache、PHP、MySQL、phpMyAdmin、ZendOptimizer等软件，为国内近百万PHP学习者和开发者提供服务。

2、杭州警方发布通报指出，国内知名PHP调试环境程序集成包“PhpStudy软件”遭到黑客篡改并植入“后门”。截至案发，超过67万用户已被控制，非法获取数据10万多组，非法牟利600多万元。360安全大脑已完成修复支持，能够清除和修复该“后门”，建议用户尽快下载最新版360安全卫士进行修复。

3、利用此漏洞的深度攻击方式，攻击者通过IDA分析xmlrpc.dll发现被植入了危险函数eval()。攻击流程包括篡改初始化函数request_startup_func，根据HTTP请求中的“Accept-Encoding”和“Accept-Charset”字段触发漏洞。攻击者需要确保字段信息符合特定条件，以触发系统收集功能。

4、本文深入剖析了在PHPStudy后门事件中，PHP环境集成程序包phpStudy遭遇供应链攻击的细节。程序包中内置的PHP的php_xmlrpc.dll模块被植入了后门，这一后门不仅具备反向连接木马功能，还能正向执行任意PHP代码。