一句话木马

在渗透测试中最常用的就是一句话后门（小马）和中国菜刀的配合。如果出现某种WAF防护，就寻找一个免杀的大马挂马。

最常见的php一句话木马

本着这个原则，尝试改写一句话木马绕过WAF。

搜集了几个常用的php函数

php一句话免杀

str_rot13函数

测试发现无法绕过安全狗。修改一下。

即可绕过安全狗。

array_map函数

array_key函数

preg_replace函数

preg_filter函数

其他

也可以绕过D盾、安全狗。

php免杀大马

正好自己手里有一个php大马。但不免杀。尝试将源码base64加密后修改为php免杀大马。

将大马eval函数变为exit或者echo。burp抓取源代码。

将源代码拷贝下来，审计发现给源码存在一处后门。

base64解码一下

哦！！！真是可以。

将该base64地址修改为自己的vps地址。嘻嘻。

那现在只要eval函数可以执行这传base64的字符串就可以啦。

WAF对base64_encode、base64_decode查杀非常严格。

不断搜索、修改、编写，最终成功。

直接将php大马源码放在code处。即可。

也可以改造php免杀一句话木马。

比如这款

访问一下。

查看vps是否接收到。

原文地址：https://www.freebuf.com/column/205995.html