又抓到一个webshell大马（我的楼兰）

“我的楼兰”Webshell大马分析

一、Webshell概述

“我的楼兰”是一款功能强大的Webshell，通常被用于非法入侵网站并获取服务器控制权。该Webshell具有多种功能，包括但不限于文件管理、信息操作、提权工具、批量操作以及脚本插件等。通过官网提供的下载链接，用户可以轻松获取到asp和php版本的木马文件，并且这些木马文件通常是免杀的，即能够绕过常见的安全检测工具。

二、Webshell名称与密码

值得注意的是，“我的楼兰”并不是该Webshell的真正名称，而是创建者在生成Webshell时自定义的名称。真正的Webshell名称可能因创建者的不同而有所差异。此外，每个Webshell都设有一个密码，用于保护Webshell的配置信息和功能。这个密码在Webshell的源码中通常是明文存储的，因此一旦Webshell被获取，攻击者就可以轻松获取到密码并控制服务器。

三、Webshell解密

为了分析“我的楼兰”Webshell的功能和原理，我们需要对其进行解密。解密过程通常包括以下几个步骤：

1. 获取加密后的代码：首先，我们需要从被入侵的服务器上获取到加密后的Webshell代码。
2. 分析加密方式：通过查看代码，我们可以发现Webshell采用了base64和zlib两种加密方式。base64是一种常用的编码方式，可以将二进制数据转换为ASCII字符串；而zlib则是一种压缩算法，用于减小数据的大小。
3. 编写解密脚本：根据加密方式，我们可以编写一个Python脚本来解密Webshell代码。解密脚本通常包括base64解码和zlib解压缩两个步骤。
4. 运行解密脚本：将加密后的代码输入到解密脚本中，运行脚本即可得到解密后的Webshell源码。

解密后的源码通常包含大量的PHP代码，这些代码实现了Webshell的各种功能。通过查看源码，我们可以深入了解Webshell的工作原理和潜在的安全风险。

四、Webshell功能分析

“我的楼兰”Webshell具有多种功能，以下是对其主要功能的分析：

1. 本地磁盘操作：Webshell允许攻击者创建文件、创建目录、复制、删除、查看属性以及打包下载服务器上的文件。这些功能使得攻击者能够轻松控制服务器上的文件系统。

   

2. 信息操作：Webshell支持上传文件、查看基本信息以及执行PHP脚本。这些功能使得攻击者能够获取服务器上的敏感信息并执行恶意代码。

   

3. 提权工具：Webshell提供了SQL执行、MySQL提权、命令执行、反弹提权、文件下载以及端口扫描等功能。这些功能使得攻击者能够进一步提升在服务器上的权限，从而执行更高级别的操作。

   

4. 批量操作：Webshell支持批量挂马清马、批量替换内容、批量搜索文件以及批量查找木马等功能。这些功能使得攻击者能够高效地管理多个被入侵的服务器。

   

5. 脚本插件：Webshell提供了一个在线代理插件，该插件可能用于绕过防火墙或代理服务器进行攻击。然而，需要注意的是，该插件的具体功能和用途可能因版本和配置的不同而有所差异。

   

五、安全建议

针对“我的楼兰”Webshell等类似的安全威胁，以下是一些建议：

1. 加强服务器安全配置：定期更新服务器软件和补丁，关闭不必要的端口和服务，限制对服务器的访问权限。
2. 定期备份数据：定期备份服务器上的重要数据，以便在发生安全事件时能够迅速恢复。
3. 使用安全扫描工具：使用专业的安全扫描工具对服务器进行定期扫描，及时发现并修复安全漏洞。
4. 加强代码审计：对网站代码进行严格的审计和测试，确保不存在安全漏洞和后门代码。
5. 提高安全意识：定期对员工进行安全意识培训，提高他们对网络安全的认识和防范能力。

综上所述，“我的楼兰”是一款功能强大的Webshell，具有多种潜在的安全风险。为了保障服务器的安全，我们需要加强安全配置、定期备份数据、使用安全扫描工具、加强代码审计以及提高安全意识。