上半年度Webshell话题讨论挺火，业内举行了数场抵抗争霸赛，也公布了数篇处于网络安

全产品侧，主要木马查杀构思的优秀文章，但很少有见到以蓝军视角为主导的letter。做为几

场争霸赛的参赛选手及里面红蓝对抗的参加者，小编尝试处于蓝军视角，讲一讲当代Webshe

ll抵抗的一些构思，也以PHPWebshell为例子，共享涉及运用tp框架自身漏洞、结构tp框架运

行内存马、强制性取值独享自变量等一些都还没被谈及到但又较为有意思的trick。

 

期望能对正在参加一些大中型防御抵抗实战演练的你有一定的感受。

 

1.轻轻松松绕开过去标准木马查杀

 

就算是如今一些流行商业服务商品，也许多延用了过去木马程序特性监测的构思，应用标准

或是范本库做为单一化木马查杀方法。
 

对蓝军而言，那样的安全保障水平毫无疑问是非常薄弱和软弱，一般是一触即溃的.先来说1

个极端化的案例1个公布的Webshell那样1个在百度就可以检索到的webshell，当然会被检测

木马查杀。但仅仅将其做一个简便形变：POST改为GET,将POST改为GET，就能顺利绕开

该商品。由此可见即便是许多商业服务级商品，也仅仅简便维系了1个范本库罢了。这尽管

是一个较为极端化的案例，但在应对流行的标准木马查杀商品时，抵抗基本原理也是互通的

，仅仅须要更超强度地编写代码。利用搜索Factor、Seevition、Cpawenot、Other等类型，

能察觉大量有意思的trick。
 

 

此外，运用数据加密、或是异或运算等数学运算转化成的范本，也可以做到特性泯灭的目地

，过去标准木马查杀的绕开并不是这篇关键，这儿已不一一举例。其主要原因是，正则表达

式的实际意义就仅仅在比较有限长的字段名中配对比较有限总长度的空格符子集，但tp框架

等计算机语言确是原子操作的，其在空格符方面上的排序会出现无限种组成，因此 利用超

强度的编写代码便能做到bypass目地。正则表达式和原子操作的计算机语言中间自然的分歧

也确定了，不管怎样繁杂的标准都没法从空格符方面cover住原子操作的tp框架等言语，必定

产生绕开的可能性。在上半年度进行公布争霸赛的数款Webshell监测商品都明智地革除了标

准方法，利用静态数据深入分析或沙盒实行等方法，尽量地接近计算机语言的表述和实行，

合理地降低了过去绕开的可能性。但与此同时在比赛时也察觉，因为静态数据深入分析或沙

盒实行自身的缺点，也产生了新的bypass可能性。