一个神秘的一句话后门代码详解-创新互联

神秘的一句话后门代码内容：

十余年的贵定网站建设经验，针对设计、前端、开发、售后、文案、推广等六对一服务，响应快，48小时及时工作处理。营销型网站的优势是能够根据用户设备显示端的尺寸不同，自动调整贵定建站的显示方式，使网站能够适用不同显示终端，在浏览器中调整网站的宽度，无论在任何一种浏览器上浏览网站，都能展现优雅布局与设计，从而大程度地提升浏览体验。创新互联建站从事“贵定网站设计”,“贵定网站推广”以来，每个客户项目都认真落实执行。

代码作用：

以上代码即是PHP的一句话后门，当POST数据为0=assert&1=phpinfo();则会执行assert('phpinfo()');

在FireFox下使用HackBar插件模拟发送POST请求的结果如下图所示：

为什么说他神秘呢？因为奇怪的是，代码里面没有一个正常的代码字符，却能接收POST的数据，并执行系统函数。接下来，分析他是如何能够执行的。

格式化代码，并打印结果：

由打印数据我们可以看到，其实，代码本身就是最后执行了$_POST['0']($_POST['1']);而其中的_POST的每个字符都是由两个符号进行异或操作后拼接得到的。

那么问题来了，为什么异或后会得到_POST呢。这里就牵涉到PHP的字符串异或运算。首先解释下，什么叫异或操作。异或操作一般叫做按位异或。意思就是两个二进制数，按位进行运算，同为0或1的结果为0，不相同的结果为1。比如10101100 ^ 11010010 = 01111110。而PHP的字符串异或运算总共有下面5个步骤：

1.将需要进行异或的两个字符串都转行成十进制的asc2码值; 2.将asc2码值转换成二进制数; 3.将转换后的二进制数进行按位异或操作; 4.将异或后得到的二进制数转换成十进制数; 5.根据asc2码表，将十进制数转换成字符串并返回. 至此,PHP的字符串异或操作完毕

于是，可以解释，为什么最终会得到_POST字符串。比如下划线_的获得，就是先将#和|都转行成十进制的asc2码值，35和124（在PHP中可以使用ord函数获取到字符串对应的asc2码值），然后将35和124都转换成二进制数00100011和01111100然后按位异或得到01011111然后转换成十进制是95，然后得到由asc2码表得到95对应的字符串为_（在PHP中可以使用chr函数获取到十进制数对应的asc2码表的字符串）。

了解到PHP字符串异或运算的原理，那么，其实我可以修改下此后门，改成由GET接收参数。

为了知道哪两个单字符的异或运算可以分别得到G或者E，做如下程序，打印一个列表，得到任意两个单字符进行异或的结果

异或值A 异或值B 异或结果

由如上的列表可以查到G可以由 ' ^ ` 得到，E可以由 8 ^ } 得到，于是如下的程序也可以作为一句话后门，并且参数是由GET传递：

至此，神秘的一句话后门详解完毕。

另外有需要云服务器可以了解下创新互联cdcxhl.cn，海内外云服务器15元起步，三天无理由+7*72小时售后在线，公司持有idc许可证，提供“云服务器、裸金属服务器、高防服务器、香港服务器、美国服务器、虚拟主机、免备案服务器”等云主机租用服务以及企业上云的综合解决方案，具有“安全稳定、简单易用、服务可用性高、性价比高”等特点与优势，专为企业上云打造定制，能够满足用户丰富、多元化的应用场景需求。

本文标题：一个神秘的一句话后门代码详解-创新互联
文章起源：http://shouzuofang.com/article/dsgocd.html