PHP webshell 免杀方法

在PHP中，webshell是一种通过web接口控制服务器的脚本。为了增加webshell的隐蔽性和生存率，攻击者会使用各种技术来绕过安全检测。以下是一些用于PHP webshell的免杀技术：

1. 使用编码技术：将webshell代码进行多次或无限次数的编码，使用自定义或通用的编码器。
2. 使用内置函数：替换常用的函数如eval、system、exec等，使用PHP内置函数的别名。
3. 使用动态调用：使用call_user_func、call_user_func_array等函数来动态调用函数。
4. 使用序列化：通过序列化来绕过安全检测。
5. 使用文件包含：利用PHP的文件包含漏洞，如include、require，包含其他文件。
6. 使用数据流：通过STDIN和STDOUT进行数据流操作。
7. 使用图片马：将PHP代码嵌入到图片文件中。
8. 使用内存马：将PHP代码加载到PHP内存中。

以下是一个简单的PHP webshell示例代码，使用了文件包含绕过安全检测：

<?php
$input = $_GET['cmd'];
$file = $_GET['file'];
 
if(isset($input) && isset($file)){
    // 使用文件包含执行命令
    include($file);
}
?>

为了避免被检测到并删除，webshell代码应该经常更新和变形，使用复杂的编码和多种绕过技术。在实践中，应该定期监控服务器日志和安全工具的警报，以便及时更新和改进免杀策略。