PHP实现webshell扫描文件木马的方法

2023-09-27 08:03:05 52

本文实例讲述了PHP实现webshell扫描文件木马的方法。分享给大家供大家参考，具体如下：

可扫描weevelyshell生成或加密的shell及各种变异webshell

目前仅支持php

支持扫描weevelyshell生成或加密的shell
支持扫描callback一句话shell
支持各种php大马





PHPwebshellscan



invoke\(/is',
'/PDO::FETCH_FUNC/',
'/\$\w+.*\s?(?:=|->)\s?.*?[\'\"]assert[\'\"]\)?/i',
'/\$\w+->(?:sqlite)?createFunction\(.*?\)/i',
'/eval\([\"\']?\\\?\$\w+\s?=\s?.*?\)/i',
'/eval\(.*?gzinflate\(base64_decode\(/i',
'/copy\(\$HTTP_POST_FILES\[\'\w+\'\]\s?\[\'tmp_name\'\]/i',
'/register_(?:shutdown|tick)_function\s?\(\$\w+,\s\$_(?:GET|POST|REQUEST|COOKIE|SERVER)\[.*?\]\)/is',
'/register_(?:shutdown|tick)_function\s?\(?[\'\"]assert[\"\'].*?\)/i',
'/call_user_func.*?\([\"|\']assert[\"|\'],.*\$_(?:GET|POST|REQUEST|COOKIE|SERVER)\[[\'|\"].*\]\)+/is',
'/preg_replace\(.*?e.*?\'\s?,\s?.*?\w+\(.*?\)/i',
'/function_exists\s*\(\s*[\'|\"](popen|exec|proc_open|system|passthru)+[\'|\"]\s*\)/i',
'/(exec|shell_exec|system|passthru)+\s*\(\s*\$_(\w+)\[(.*)\]\s*\)/i',
'/(exec|shell_exec|system|passthru)+\s*\(\$\w+\)/i',
'/(exec|shell_exec|system|passthru)\s?\(\w+\(\"http_.*\"\)\)/i',
'/(?:john\.barker446@gmail\.com|xb5@hotmail\.com|shopen@aventgrup\.net|milw0rm\.com|www\.aventgrup\.net|mgeisler@mgeisler\.net)/i',
'/Php\s*?Shell/i',
'/((udp|tcp)\:\/\/(.*)\;)+/i',
'/preg_replace\s*\((.*)\/e(.*)\,\s*\$_(.*)\,(.*)\)/i',
'/preg_replace\s*\((.*)\(base64_decode\(\$/i',
'/(eval|assert|include|require|include_once|require_once)+\s*\(\s*(base64_decode|str_rot13|gz(\w+)|file_(\w+)_contents|(.*)php\:\/\/input)+/i',
'/(eval|assert|include|require|include_once|require_once|array_map|array_walk)+\s*\(.*?\$_(?:GET|POST|REQUEST|COOKIE|SERVER|SESSION)+\[(.*)\]\s*\)/i',
'/eval\s*\(\s*\(\s*\$\$(\w+)/i',
'/((?:include|require|include_once|require_once)+\s*\(?\s*[\'|\"]\w+\.(?!php).*[\'|\"])/i',
'/\$_(\w+)(.*)(eval|assert|include|require|include_once|require_once)+\s*\(\s*\$(\w+)\s*\)/i',
'/\(\s*\$_FILES\[(.*)\]\[(.*)\]\s*\,\s*\$_(GET|POST|REQUEST|FILES)+\[(.*)\]\[(.*)\]\s*\)/i',
'/(fopen|fwrite|fputs|file_put_contents)+\s*\((.*)\$_(GET|POST|REQUEST|COOKIE|SERVER)+\[(.*)\](.*)\)/i',
'/echo\s*curl_exec\s*\(\s*\$(\w+)\s*\)/i',
'/newcom\s*\(\s*[\'|\"]shell(.*)[\'|\"]\s*\)/i',
'/\$(.*)\s*\((.*)\/e(.*)\,\s*\$_(.*)\,(.*)\)/i',
'/\$_\=(.*)\$_/i',
'/\$_(GET|POST|REQUEST|COOKIE|SERVER)+\[(.*)\]\(\s*\$(.*)\)/i',
'/\$(\w+)\s*\(\s*\$_(GET|POST|REQUEST|COOKIE|SERVER)+\[(.*)\]\s*\)/i',
'/\$(\w+)\s*\(\s*\$\{(.*)\}/i',
'/\$(\w+)\s*\(\s*chr\(\d+\)/i'
);
functionantivirus($dir,$exs,$matches){
if(($handle=@opendir($dir))==NULL)returnfalse;
while(false!==($name=readdir($handle))){
if($name=='.'||$name=='..')continue;
$path=$dir.$name;
if(strstr($name,SELF))continue;
//$path=iconv("UTF-8","gb2312",$path);
if(is_dir($path)){
//chmod($path,0777);/*主要针对一些0111的目录*/
if(is_readable($path))antivirus($path.'/',$exs,$matches);
}elseif(strpos($name,';')>-1||strpos($name,'%00')>-1||strpos($name,'/')>-1){
echo'特征'.$path.'';flush();ob_flush();
}
else{
if(!preg_match($exs,$name))continue;
if(filesize($path)>10000000)continue;
$fp=fopen($path,'r');
$code=fread($fp,filesize($path));
fclose($fp);
if(empty($code))continue;
if(weevelyshell($path)){
echo'特征'.$path.'';flush();ob_flush();
}elseif(callbackshell($path)){
echo'特征'.$path.'';flush();ob_flush();
}
foreach($matchesas$matche){
$array=array();
preg_match($matche,$code,$array);
if(!$array)continue;
if(strpos($array[0],"\x24\x74\x68\x69\x73\x2d\x3e"))continue;
$len=strlen($array[0]);
if($len>6&&$len<200){
echo'特征'.$path.'';
flush();ob_flush();break;
}
}
unset($code,$array);
}
}
closedir($handle);
returntrue;
}
functionstrdir($str){returnstr_replace(array('\\','//','//'),array('/','/','/'),chop($str));}
echo'';
echo'路径:';
echo'后缀:';
echo'操作:';
echo'';
if(file_exists($_POST['dir'])&&$_POST['exs']){
$dir=strdir($_POST['dir'].'/');
$exs='/('.str_replace('.','\\.',$_POST['exs']).')/i';
echoantivirus($dir,$exs,$matches)?'
扫描完毕!':'
扫描中断';
}
?>

更多关于PHP相关内容感兴趣的读者可查看本站专题：《php程序设计安全教程》、《php安全过滤技巧总结》、《PHP运算与运算符用法总结》、《PHP网络编程技巧总结》、《PHP基本语法入门教程》、《php面向对象程序设计入门教程》、《php字符串(string)用法总结》、《php+mysql数据库操作入门教程》及《php常见数据库操作技巧汇总》

希望本文所述对大家PHP程序设计有所帮助。

声明：本文内容来源于网络，版权归原作者所有，内容由互联网用户自发贡献自行上传，本网站不拥有所有权，未作人工编辑处理，也不承担相关法律责任。如果您发现有涉嫌版权的内容，欢迎发送邮件至：czq8825#qq.com（发邮件时，请将#更换为@）进行举报，并提供相关证据，一经查实，本站将立刻删除涉嫌侵权内容。

PHP实现webshell扫描文件木马的方法

热门推荐

随机推荐