可利用的PHP函数

我试图构建一个可以用于任意代码执行的函数列表。其目的不是列出应该列入黑名单或以其他方式禁止的函数。更确切地说，我希望在搜索受感染的服务器以寻找后门时，有一个易于grep-able的红旗关键字列表。

其思想是，如果您想构建一个多用途的恶意PHP脚本——例如c99或r57这样的“web shell”脚本——您将不得不在文件中的某个位置使用一个或多个相对较小的函数集，以便允许用户执行任意代码。搜索这些函数可以帮助您更快地将数万个PHP文件缩小到需要仔细检查的相对较小的脚本集。

显然，例如，以下任何一种代码都被认为是恶意的(或糟糕的编码):

<? eval($_GET['cmd']); ?>

<? system($_GET['cmd']); ?>

<? preg_replace('/.*/e',$_POST['code']); ?>

等等。

前几天在搜索一个受感染的网站时，我没有注意到一段恶意代码，因为我没有意识到preg_replace可以通过使用/e标志而变得危险(真的吗?为什么会出现这种情况?)还有其他我错过的吗?

以下是我目前列出的清单:

Shell执行

系统执行 popen 撇号操作符 pcntl_exec

PHP执行

eval Preg_replace(带/e修饰符) create_function 包括[_once] /要求[_once](详见mario的回答)

有一个能够修改文件的函数列表可能也很有用，但我想99%的情况下，利用代码将至少包含上述函数之一。但是如果你有一个所有能够编辑或输出文件的函数的列表，把它贴出来，我会把它包括在这里。(我没有计算mysql_execute，因为它是另一类利用的一部分。)

当前回答

这本身并不是一个答案，但这里有一些有趣的事情:

$y = str_replace('z', 'e', 'zxzc');
$y("malicious code");

同样，call_user_func_array()可用于执行模糊化函数。

其他回答

php手册上的倒勾操作符

你必须扫描include($tmp)和require(HTTP_REFERER)以及*_once。如果一个利用脚本可以写入一个临时文件，它可以在以后包含它。基本上是两步计算。

甚至可以隐藏远程代码，比如:

 include("data:text/plain;base64,$_GET[code]");

此外，如果你的网络服务器已经被入侵，你不会总是看到未编码的邪恶。利用shell通常是gzip编码的。考虑include("zlib:script2.png.gz");这里没有eval，还是一样的效果。

使用4bit发现了几个缓冲区溢出字符解释文本的函数。 htmlentities () htmlspecialchars函数()

人在巅峰时，好的防御是用什么方法 Mb_convert_encoding()转换为单个先编码再解释。

代码中的大多数攻击使用多个访问源或多个步骤来执行自己。我不仅会搜索含有恶意代码的代码或方法，还会搜索所有执行或调用它的方法、函数。最好的安全性还包括对输入和输出的表单数据进行编码和验证。

在定义系统变量时也要注意，它们之后可以从代码中的任何函数或方法调用。

有很多PHP漏洞可以通过PHP.ini文件中的设置来禁用。最明显的例子是register_globals，但是根据设置，也可以通过HTTP从远程机器包含或打开文件，如果程序对其include()或文件处理函数使用变量文件名，则可以利用这一点。

PHP还允许通过在变量名后面添加()来调用变量函数——例如$myvariable();将调用变量指定的函数名。这是可利用的;例如，如果攻击者可以让变量包含“eval”这个词，并且可以控制参数，那么他可以做任何他想做的事情，即使程序实际上不包含eval()函数。

推荐文章