服务器后门php脚本,服务端后门

关于PHP中的webshell

1、PHP中的webshell是一种存在于PHP网页文件中的命令执行环境，也称网页后门，是黑客入侵网站后获取对网站服务器控制权限的一种方式。

2、webshell是一种在web环境中存在的命令执行环境，它能被黑客利用入侵网站服务器。webshell实际上是一种后门工具，常以asp、php、jsp或cgi形式存在。黑客入侵网站后，将后门文件混入正常网页文件中，利用浏览器访问这些后门文件，获得命令执行环境，进而控制服务器。webshell的本质是web与shell的结合。

3、PHP Webshell的免杀改造，从AntSword入手，主要目标是通过流量加密和特征规避，以绕过WAF和态势感知系统。AntSword因其灵活性，尤其是自定义编码器和解码器的能力，为这种改造提供了便利。首先，AntSword的默认编码器如Base64虽简单，但会导致eval字样的出现，易被态势感知识别为威胁。

4、Webshell编写语言主要包括asp、jsp和php。本文将以php Webshell为例，详细解释Webshell的常用函数、工作方式以及常用隐藏技术。为何Webshell备受黑客青睐黑客使用Webshell的第一步是将其上传至可访问的服务器中，如利用CMS系统的第三方插件中的漏洞上传一个简单的php Webshell。

5、webshell，一种web入侵的脚本攻击工具。简单理解，webshell实质上是asp或php木马后门。黑客在攻占网站后，常将这些木马后门文件置于网站服务器web目录，与正规网页文件混杂。然后，黑客能通过web操作，借助木马后门对网站服务器实施控制，包括文件上传下载、数据库查看、任意程序命令执行等。

后门程序入侵法定——精品后门

1、国内的入侵手法通常是利用脚本漏洞上传恶意代码，然后在服务器内部寻找权限提升的途径，最终获取系统权限。在asp、CGI、PHP这三个主流脚本类型的应用中，脚本后门的发展各有侧重。接下来，我们将详细探讨这三个领域中脚本后门的具体情况。

2、后门程序是一种特殊类型的恶意软件，隐藏在用户系统中并允许远程机器对本地系统进行控制。以下是关于后门程序的详细解释：定义与特性：隐藏性：后门程序通常隐藏在用户的系统中，不易被发现。特殊权限：它们具备一定的权限，能够绕过正常的安全防护措施，获取对程序或系统的访问权限。

3、后门程序是软件开发中的一个秘密入口，通常由程序员在模块设计时设置，用于测试和修改功能。用户通常不会知道后门的存在。 正常情况下，程序员应在软件发布前移除后门，但由于疏忽或故意留下后门，后门有时会被作者或恶意用户利用。

4、后门程序是指一种在计算机系统中隐藏或伪装起来的程序，它允许未经授权的用户或攻击者绕过正常的身份验证机制，获得对系统的非法访问权限。后门程序的存在通常是为了方便系统管理员在必要时进行远程管理和维护，但在很多情况下，它们也可能被恶意用户利用来实施攻击或窃取信息。

.user.ini文件结成的PHP后门

1、在网络安全中，.user.ini文件常常被用作创建PHP后门的一种方法。相较于.htaccess文件，.user.ini更为通用，适用于Nginx、Apache以及IIS等不同的服务器环境，只要使用fastcgi运行PHP，皆可使用此方法。作者在多款服务器上进行了测试，并总结了.user.ini文件的使用与特性。

2、本文将通过在IIS0+Fastcgi+PHP3和nginx+fpm+php3环境中进行测试，验证使用.user.ini和包含webshell的0gif文件来注入后门的可行性。结果表明，即使在限制上传.php文件的环境中，通过部署.user.ini文件和图片马（包含webshell），仍能成功获取shell权限。

3、.user.ini实际上允许用户自定义php.ini配置，通过用户自定义设置，可制造后门。具体方法为直接在.user.ini文件中编写。对于“Pass-06/index”页面，通过查看提示与文件源码，发现将多种后缀名包括.php，.php5等进行过滤，但并未对后缀名进行统一转换为小写。因此，考虑尝试后缀名大小写绕过方法。

PHPStudy后门事件分析

1、事件概述：国内知名PHP调试环境程序集成包“PhpStudy软件”遭到黑客篡改并植入了“后门”。截至案发，已有超过67万用户被控制，黑客非法获取了10万多组数据，并非法牟利600多万元。后门功能：该“后门”具有控制计算机的功能，可以远程控制下载并运行脚本，从而收集用户的个人信息。

2、后门功能分析包括两个PHP脚本：一个用于模拟GET请求，另一个则内置了域名表和端口表，通过遍历发送数据。执行流程和构造有效载荷的细节则需根据具体原理进行构建。为了验证漏洞的存在，可以使用漏洞插件，如长亭科技xray社区漏洞扫描器。此插件能够帮助快速验证受影响的站点，并提供相应的检测规则和链接。

3、此案揭示黑客早在2016年就潜伏并利用“后门”侵入PhpStudy的官网，篡改软件安装包。该“后门”具有控制计算机的功能，可远程控制下载运行脚本收集用户个人信息。大量电脑被利用，用户账号密码、设备数据、敏感信息被远程抓取。

4、针对phpStudy中的RCE漏洞，攻击者可以利用该漏洞执行PHP命令，被称作phpStudy后门。此漏洞等级被评定为高危，影响的版本包括php-17和php-45中的php_xmlrpc.dll文件。识别漏洞的方法是在相关文件中查找特定字符串“@eva”，存在此字符串则表示存在后门。

5、PHPStudy存在一个严重漏洞，编号为phpstudy_2016-2018_rce，威胁级别极高。漏洞允许攻击者通过恶意利用，执行PHP命令，构成后门风险。受影响的版本包括phpStudy 2016和phpStudy 2018。在Windows Server 2016环境中安装phpStudy后，可以通过浏览器访问其Web服务，确认安装成功。

6、phpstudy软件是国内的一款免费的PHP调试环境的程序集成包，通过集成Apache、PHP、MySQL、phpMyAdmin、ZendOptimizer多款软件一次性安装，无需配置即可直接安装使用，具有PHP环境调试和PHP开发功能，在国内有着近百万PHP语言学习者、开发者用户。但是存在后门漏洞，可直接getshell。