热搜:NVER node 开发 php

基于PHP的Webshell自动检测刍议

2024-07-26 19:10:01
基于PHP的Webshell自动检测刍议

0x00 引言

看到wooyun知识库上众多大神的精彩文章,深感自身LOW到爆,故苦思冥想找来一个题目,主要求邀请码一枚,以便以后继续学习。

对于网络维护人员来说,恐怕最头痛的就是网站被黑,还留下了后门,甚至连服务器都被提权。而Hacker通常在相对不易引人注目的地方留下后门。逐个排查感觉很吃力,那么,本文姑且探讨一下在PHP环境下的Webshell自动检测的可行方案。

0x01 关键词检测

利用正则表达式等对一些常见的Webshell关键词进行扫描,从而判断出该文件是否为Webshell.这种检测方法真是太暴力了,也是最简单最传统的检测方式。显而易见,这样简单粗暴地检测会产生较高的误报率,而且对于一些加了密或者变形的Webshell又会出现检测不出来的问题。所以,这样筛选出来的Webshell还要经过网络维护人员的手动核实,查杀原则是:宁可错杀一百,不可放过一个。。。。

譬如下面这段在某网站Get的代码,据称是某在线Webshell查杀真实代码:

#!phpclass scan{private $directory = '.';private $extension = array('php');private $_files = array();private $filelimit = 5000;private $scan_hidden = true;private $_self = '';Private $_regex='(preg_replace.*\/e|`.*?\$.*?`|\bcreate_function\b|\bpassthru\b|\bshell_exec\b|\bexec\b|\bbase64_decode\b|\bedoced_46esab\b|\beval\b|\bsystem\b|\bproc_open\b|\bpopen\b|\bcurl_exec\b|\bcurl_multi_exec\b|\bparse_ini_file\b|\bshow_source\b|cmd\.exe|KAdot@ngs\.ru|小组|专用|提权|木马|PHP\s?反弹|shell\s?加强版|WScript\.shell|PHP\s?Shell|Eval\sPHP\sCode|Udp1-fsockopen|xxddos|Send\sFlow|fsockopen\('(udp|tcp)|SYN\sFlood)';private $_shellcode='';private $_shellcode_line=array();private $_log_array= array();private $_log_count=0;private $action='';private $taskid=0;private $_tmp='';

0x02 对混淆Webshell的判断

1. 信息熵

说到对加密的Webshell的判断,就不得不提到信息论。香农信息论的基本点是用随机变量或随机矢量来表示信源,运用概率论和随机过程的理论来研究信息。经过编码的Webshell文件包含大量随机内容或特殊信息,这种文件将产生更多的ASCII码,使用ASCII码计算文件的熵值会变大,即衡量了Webshell对于普通文件的不确定性。

公式说明:

  • 其中,n为ASCII码,对于ASCII为127的字符(空格)的判断无意义,去除;Xn为第n位ASCII码在当前文件中出现的次数,S为当前脚本文件的总字符数。
  • 熵值Info(A)越大,为Webshell的可能性越大。

有关信息熵的更多内容,可以参考: https://en.wikipedia.org/wiki/Entropy_%28information_theory%29

2. index of coincidence(IC,重合指数)

这里再使用一种方法:设X为一个长度为n的密文字符串,我们用集合来表示这个密文字符串{X1,X2,…,Xn},X的重合指数是指随机抽取任意两个元素相同的概率。

设Ni为字符i在这份密文中出现的次数。从n个密文字符中抽取两个字符的方式有

而其中Ni个i组成一对的方式有

于是,两式作比,即为从X中抽到两个字符都为i的概率。

加密文件的密文随机性变大,其重合指数变低。编码后的Webshell类似于随机文件,而明文的Webshell由于具有用于提权的类似随机字符串或者包含二进制、十六进制序列的内容,因此使用扩展的ASCII码作为研究对象,即计算254个字符(除去ASCII为127)的重合指数。那么对于脚本文件,如果重合指数越低,则为Webshell的可能性越大。

除上述介绍过的两种算法,还可以使用base64编码待检测脚本文件,对于加密的Webshell文件,由于base64编码消除了非ASCII的字符,这样实际上经base64编码过的件的字符就会具有这样的特征——更小且出现分布的不均衡,也就是说文件的压缩比会变大。通过这样的方式来检测Webshell的特征就是相对其他文件,具有更大的压缩比。

对于混淆的Webshell的判断,根据算法算出来的结果都是一些具体的数值,要根据实际设定好的阈值来进行比较,从而来判断是否为Webshell。而阈值的设定由于不同的网站并不相同,因此还要经过具体的测试。

0x03 基于PHP扩展的Webshell实时动态检测

这种检测方法在目前比较流行,主要由于该方法采用对PHP调用危险函数的HOOK,能够动态地检测出Webshell,相对比较实时,迅速。在一定程度上,弥补了传统Webshell静态检测的不足,也相对更为方便。

PHP在WEB容器内的运行方式主要有三种:模块加载方式运行,CGI或FastCGI方式运行,三种方法都要经过5个阶段:模块初始化,请求初始化,代码执行,请求结束,模块结束。在PHP的代码执行过程中,通过词法分析,将PHP代码转变为语言片段(tokens),然后语法分析转化为有意义的表达式,最后将表达式编译为中间字节码(opcodes).中间字节码在Zend虚拟机执行,然后输出结果。

我们通过使用PHP内核提供的通用接口: zend_set_user_opcode_handler 来修改中间字节码对应的处理函数,达到对PHP内核HOOK的效果。 函数原型:

#!cint zend_set_user_opcode_handler(zend_uchar opcode,opcode_handler_t handler)

前者为需要的 opcode ;后者为 hook 后的处理函数。

一般将 ZEND_INCLUDE_OR_EVAL , ZEND_DO_FCALL , ZEND_DO_FCALL_BY_NAME (参见下面举例函数)等处理函数在扩展中使用 zend_set_user_opcode_handler 进行处理。

攻击者通过任意文件上传漏洞将Webshell上传到目录中。那么在文件上传后进行访问时,通过对文件所在路径是否在黑白名单中进行判断,如果不符合黑白名单规则,则视为攻击并及时拦截。

潜在的可以HOOK的危险函数:

  1. 命令执行类:passthru,system,popen,exec,shell_exec等
  2. 文件系统类:fopen,opendir,dirname,pathinfo等
  3. 数据库操作类:mysql_query,mysqli_query等
  4. 回调函数:array_filter,array_reduce,usort,uksort等
  5. 反射函数:ReflectionFunction

PHP扩展采用纯C编写,给出主要代码供参考:

#!c#include“config.h”#include“php.h”#include“php_ini.h”#include“ext/standard/info.h”#include“php_waf.h”static int le_waf;const zend_function_entry waf_functions[] = {PHP_FE(confirm_waf_compiled,NULL),PHP_FE_END };zend_module_entry waf_module_entry = {#if ZEND_MODULE_API_NO >= 20010901STANDARD_MODULE_HEADER,#endif“waf”,waf_functions,PHP_MINIT(waf),PHP_MSHUTDOWN(waf),PHP_RINIT(waf),PHP_RSHUTDOWN(waf),PHP_MINFO(waf),#if ZEND_MODULE_API_NO >= 20010901PHP_WAF_VERSION,#endifSTANDARD_MODULE_PROPERTIES};#ifdef COMPILE_DL_WAFZEND_GET_MODULE(waf);#endifPHP_MINIT_FUNCTION(waf){ zend_set_user_opcode_handler(ZEND_INCLUDE_OR_EVAL,manage); // hook eval等zend_set_user_opcode_handler(ZEND_DO_FCALL_BY_NAME,manage); //hook变量函数执行zend_set_user_opcode_handler(ZEND_DO_FCALL,manage); //hook命令执行return SUCCESS;}int manage() /*HOOK处理函数*/{ char* filepath = (char*)zend_get_executed_filename(TSRMLS_C);if(strstr(filepath,”upload”))/*判断字符串“upload”是否是filepath的子串*/{ php_printf(“请不要执行恶意代码
执行文件路径 :%s”,filepath);return ZEND_USER_OPCODE_RETURN;}elsereturn ZEND_USER_OPCODE_DISPATCH;}

0x04 总结

除上述所采用的Webshell检测方法,目前还有基于网络的检测方式等。

例如,目前的研究有集中于在网络入口处配置IDS或者WAF来检测Webshell的方法。Fireeye[28]提出使用Snort配置特征规则来检测一句话木马.另有通过配置ModSecurty的核心规则集(CoreRule Sets)来检测上传Webshell的行为的方式。

上述两种方法都是通过分析http请求中是否包括特殊关键词(例如