工具推荐 |《原神》启动！当原神稻妻解谜机关阵列机关立方遇到Webshell免杀！

介绍

使用分支对抗技术制作的PHP Webshell， 截止2024年1月18日，共数十个查杀引擎免杀 。

声明

作者于2024年01月19日公开此WebShell之前，并未向任何平台提交关于该WebShell的绕过漏洞报告，也从未领取过任何平台的漏洞赏金或安全币。

绕过点

1. 使用刻意编写的变量覆盖漏洞传递参数；
2. 使用线性代数中的循环群运算原理制作程序锁定器；
3. 在“柏林噪声”随机数生成算法生成的数组中添加关键危险字符；
4. 关键危险字符的生成内容由程序解锁器的运算结果决定，若运算错误则无法生成正确字符；
5. 在程序的执行过程中使用阻断器，若未解锁则阻断函数返回值传递
6. 使用超长行注释干扰词法引擎。

代码灵感

本WebShell程序锁定器的制作灵感来源于开放世界游戏《原神》中于稻妻地区境内广泛存在的一种大世界解谜机关阵列“机关立方”。该机关阵列由数个小型立方机关组成，当其中一个机关受到击打时，会联动阵列内的其它组成机关一起转动，其本质是实现了一个线性代数中“循环群”的运算模拟系统。

本程序的锁定器参考上述原理制作，锁定器接收传入的解锁答案并根据答案修改对象中机关的整数数值，当对象中4个整数数值全部相等时即判定解锁成功。

测试结果

最后一次绕过测试于2024年01月18日进行，共使用了国内外共35个现有的查杀引擎进行测试，成功绕过34个，绕过率97.1% ：

• 绕过成功：阿里伏魔引擎、安恒云沙箱、大圣云沙箱、河马WebShell查杀、魔盾云沙箱、微步集成引擎共26个（微软、卡巴斯基、IKARUS、Avast、GDATA、安天、360、NANO、瑞星、Sophos、WebShell专杀、MicroAPT、OneStatic、ESET、小红伞、大蜘蛛、AVG、K7、江民、Baidu、TrustBook、熊猫、ClamAV、Baidu-China、OneAV、MicroNonPE）、D盾、Windows Defender、火绒安全软件
• 绕过失败：长亭百川WebShell查杀引擎

（所有绕过测试截图可在ScreenShot文件夹中查看）

运行环境

1. 操作系统：Windows、Linux、macOS
2. PHP版本：PHP 5 全版本、PHP 7 全版本、PHP 8 全版本

使用说明

使用本WebShell需要 解锁程序锁定器、提供命令执行函数的第一个字符s和提供执行的命令 ，以下参数可以 按实际情况在POST请求中提供 ：

1. wpstring   =>   ABBCCD
2. b       =>   s
3. pcs      =>   Your command

参考资料

工具下载

关注公众号“藏剑安全”，回复“免杀”即可获得下载链接