《如何精确查找PHP WEBSHELL木马？》的评论 http://www.cnxct.com/%e5%a6%82%e4%bd%95%e7%b2%be%e7%a1%ae%e6%9f%a5%e6%89%bephp-webshell%e6%9c%a8%e9%a9%ac%ef%bc%9f/ 技术这个东西如同一个圆 ,刚开始的时候我们就如同站在圆心,一旦投入学习下去 ,圆就慢慢变大 ,圆的边缘以外也就会越来越大,接触的多了 知道的多了, 就会发现自己真的很无知! Sun, 05 Feb 2012 11:13:45 +0000 hourly 1 http://wordpress.org/?v=3.3.1 作者：CFC4N http://www.cnxct.com/%e5%a6%82%e4%bd%95%e7%b2%be%e7%a1%ae%e6%9f%a5%e6%89%bephp-webshell%e6%9c%a8%e9%a9%ac%ef%bc%9f/comment-page-1/#comment-3574 CFC4N Tue, 31 Jan 2012 07:53:29 +0000 http://www.cnxct.com/%e5%a6%82%e4%bd%95%e7%b2%be%e7%a1%ae%e6%9f%a5%e6%89%bephp-webshell%e6%9c%a8%e9%a9%ac%ef%bc%9f/#comment-3574 感谢反馈。关于您提到的``执行命令的问题，程序中已经做了扫描判断。不过，判断的不够严格，你这里的这种方式，确实没有严格判断，只判断了直接执行，没有赋值的情况，如图： http://www.cnxct.com/wp-content/uploads/2010/07/check_php_shell_with_python1.jpg 可以将代码中正则 [code lang="php"] (^|(?<=;))\s*`(?P<shell>[^`]+)`\s*; [/code] 改为 [code lang="php"] (^|(?<=;|=))\s*`(?P<shell>[^`]+)`\s*; [/code] 即可捕捉到。感谢反馈。 感谢反馈。关于您提到的“执行命令的问题，程序中已经做了扫描判断。不过，判断的不够严格，你这里的这种方式，确实没有严格判断，只判断了直接执行，没有赋值的情况，如图：
http://www.cnxct.com/wp-content/uploads/2010/07/check_php_shell_with_python1.jpg

可以将代码中正则

(^|(?<=;))\s*`(?P<shell>[^`]+)`\s*;

改为

(^|(?<=;|=))\s*`(?P<shell>[^`]+)`\s*;

即可捕捉到。感谢反馈。

]]> 作者：t http://www.cnxct.com/%e5%a6%82%e4%bd%95%e7%b2%be%e7%a1%ae%e6%9f%a5%e6%89%bephp-webshell%e6%9c%a8%e9%a9%ac%ef%bc%9f/comment-page-1/#comment-3573 t Tue, 31 Jan 2012 05:47:10 +0000 http://www.cnxct.com/%e5%a6%82%e4%bd%95%e7%b2%be%e7%a1%ae%e6%9f%a5%e6%89%bephp-webshell%e6%9c%a8%e9%a9%ac%ef%bc%9f/#comment-3573 ``来执行命令 还一种情况是$a=`id`;echo $a; 不过很少有人这样留shell，如果是拿到你的检测代码了，有意规避的话，这是个疏漏之处 “来执行命令 还一种情况是$a=`id`;echo $a;
不过很少有人这样留shell，如果是拿到你的检测代码了，有意规避的话，这是个疏漏之处

]]> 作者：pcghost http://www.cnxct.com/%e5%a6%82%e4%bd%95%e7%b2%be%e7%a1%ae%e6%9f%a5%e6%89%bephp-webshell%e6%9c%a8%e9%a9%ac%ef%bc%9f/comment-page-1/#comment-3433 pcghost Mon, 14 Feb 2011 08:12:01 +0000 http://www.cnxct.com/%e5%a6%82%e4%bd%95%e7%b2%be%e7%a1%ae%e6%9f%a5%e6%89%bephp-webshell%e6%9c%a8%e9%a9%ac%ef%bc%9f/#comment-3433 http://cnxct.googlecode.com/svn/trunk/ http://cnxct.googlecode.com/svn/trunk/

]]> 作者：nflauthentic http://www.cnxct.com/%e5%a6%82%e4%bd%95%e7%b2%be%e7%a1%ae%e6%9f%a5%e6%89%bephp-webshell%e6%9c%a8%e9%a9%ac%ef%bc%9f/comment-page-1/#comment-3380 nflauthentic Thu, 09 Sep 2010 06:25:16 +0000 http://www.cnxct.com/%e5%a6%82%e4%bd%95%e7%b2%be%e7%a1%ae%e6%9f%a5%e6%89%bephp-webshell%e6%9c%a8%e9%a9%ac%ef%bc%9f/#comment-3380 呵呵，那就放心了呢 呵呵，那就放心了呢

]]> 作者：CFC4N http://www.cnxct.com/%e5%a6%82%e4%bd%95%e7%b2%be%e7%a1%ae%e6%9f%a5%e6%89%bephp-webshell%e6%9c%a8%e9%a9%ac%ef%bc%9f/comment-page-1/#comment-3373 CFC4N Mon, 23 Aug 2010 02:36:33 +0000 http://www.cnxct.com/%e5%a6%82%e4%bd%95%e7%b2%be%e7%a1%ae%e6%9f%a5%e6%89%bephp-webshell%e6%9c%a8%e9%a9%ac%ef%bc%9f/#comment-3373 呵呵，我后来测试了修正了一下，误报为0 了。 :mrgreen: 呵呵，我后来测试了修正了一下，误报为0 了。 :mrgreen:

]]> 作者：nfl authentic http://www.cnxct.com/%e5%a6%82%e4%bd%95%e7%b2%be%e7%a1%ae%e6%9f%a5%e6%89%bephp-webshell%e6%9c%a8%e9%a9%ac%ef%bc%9f/comment-page-1/#comment-3371 nfl authentic Mon, 23 Aug 2010 02:33:04 +0000 http://www.cnxct.com/%e5%a6%82%e4%bd%95%e7%b2%be%e7%a1%ae%e6%9f%a5%e6%89%bephp-webshell%e6%9c%a8%e9%a9%ac%ef%bc%9f/#comment-3371 Discuz7.2的代码误报的几率大概多少呢 :?: Discuz7.2的代码误报的几率大概多少呢 :?:

]]> 作者：关于网上流传查找PHP webshell的python脚本中，不严谨的代码 | CNXCT小组的博客 http://www.cnxct.com/%e5%a6%82%e4%bd%95%e7%b2%be%e7%a1%ae%e6%9f%a5%e6%89%bephp-webshell%e6%9c%a8%e9%a9%ac%ef%bc%9f/comment-page-1/#comment-3365 关于网上流传查找PHP webshell的python脚本中，不严谨的代码 | CNXCT小组的博客 Tue, 03 Aug 2010 10:03:49 +0000 http://www.cnxct.com/%e5%a6%82%e4%bd%95%e7%b2%be%e7%a1%ae%e6%9f%a5%e6%89%bephp-webshell%e6%9c%a8%e9%a9%ac%ef%bc%9f/#comment-3365 [...] =============================我是万恶的分割线====================================== 最新代码在这里给出了。 [...] [...] =============================我是万恶的分割线====================================== 最新代码在这里给出了。 [...]

]]> 作者：N http://www.cnxct.com/%e5%a6%82%e4%bd%95%e7%b2%be%e7%a1%ae%e6%9f%a5%e6%89%bephp-webshell%e6%9c%a8%e9%a9%ac%ef%bc%9f/comment-page-1/#comment-3364 N Tue, 03 Aug 2010 06:38:35 +0000 http://www.cnxct.com/%e5%a6%82%e4%bd%95%e7%b2%be%e7%a1%ae%e6%9f%a5%e6%89%bephp-webshell%e6%9c%a8%e9%a9%ac%ef%bc%9f/#comment-3364 我来测个头像 我来测个头像

]]>