一句话木马就是一段简单的代码，就这短短的一行代码，就能做到和大马相当的功能。一句话木马短小精悍，而且功能强大，隐蔽性非常好，在入侵中始终扮演着强大的作用。
这是php的一句话后门中最普遍的一种。它的工作原理是：
首先存在一个名为的变量，的取值为HTTP的POST方式。Web服务器对取值以后，然后通过eval()函数执行里面的内容。
实例：
将以上代码写入webshell.php文件中然后放在站点目录下通过浏览器访问，以POST方式传入
然后就可以看到目标站点目录下的文件了
一般的php一句话后门很容易被网站防火墙waf拦截，而waf通常通过判断关键字来辨别一句话木马，要想绕过waf就需要对木马进行一些变形。
php变量
第三行使用了变量函数$a，变量储存了函数名asse，便可以直接用变量替代函数名。
php变量简单变形1
使用字符串拼接、大小写混淆、字符串逆序组合而成
php变量简单变形2
使用大小写混淆配合字符串转小写函数strtolower组合而成
PHP可变变量
以上代码可表示为
自定义函数
使用function自定义函数，然后函数来调用eval函数
create_function函数
创建了一个匿名函数，并返回了一个独一无二的函数名，然后再调用此函数
call_user_func()函数
call_user_func()函数的第一个参数是被调动的函数，剩下的参数（可有多个参数）是被调用函数的参数
base64_decode 函数
是assert的base64编码，是base64解密函数
preg_replace函数
函数一个参数是一个正则表达式，按照 php的格式，表达式在两个/之间，如果在表达式末尾加上一个 e，则第二个参数就会被当做 php代码执行。
pares_str函数
执行pares_str函数后可以生成一个名为$a，值为"eval"的变量。
str_replace函数
此函数用于将第三个参数中的第一个参数替换为第二个参数
以上的POST也可替换成GET，但同时shell的传递方式也要改为GET形式，在使用一句话木马时，也可以在前面加一个@来屏蔽错误，增加其隐蔽性。
总结：一句话木马的变换方式还有很多种，本小白也是浅浅的总结了一下。
版权声明：
本文来源网络，所有图片文章版权属于原作者，如有侵权，联系删除。
本文网址：https://www.mushiming.com/mjsbk/6158.html