PHP 位運算後門分析：按位取反 (~) 構造免殺 Webshell 原理與防禦

前言

PHP 的位運算符 ~（按位取反）在特定編碼下能將可讀字串轉為「亂碼」，再經二次取反還原。攻擊者利用此特性構造免殺 Webshell，繞過 WAF 靜態特徵匹配。本文深入剖析原理、重現過程、編碼陷阱與防禦策略，僅供安全研究與防禦參考，嚴禁用於非法用途。

核心原理：位取反與字串還原

PHP 中 ~$str 對字串每個字元的位元進行取反（0↔1）。若原字串為 ASCII 可列印字元，取反後多半落在控制字元或擴展 ASCII 區，顯示為亂碼。但再次取反 ~~$str 即可完美還原。

<?php
$original = 'assert';
$encoded  = ~$original;   // 產生二進位「亂碼」
$decoded  = ~$encoded;    // 還原為 'assert'

var_dump($original, $encoded, $decoded);
/*
string(6) "assert"
string(6) ""  // 實際為不可列印字元
string(6) "assert"
*/
?>

實戰構造：動態函數名與參數

攻擊者將敏感函數名（assert、system、eval）與參數（_POST、_GET）均經取反編碼，執行時再取反還原：

<?php
// 免殺 Webshell 核心代碼（僅示意，勿部署）
$x = ~'▒▒▒▒▒▒';        // ~'assert' 取反後的二進位字串
$x(~'▒▒▒▒▒▒▒▒▒▒');   // ~'_POST' 取反後，執行 assert($_POST[...])
?>

實際部署時，攻擊者會將二進位字串以 ISO-8859-1 (Latin-1) 或 Windows-1252 編碼儲存於 PHP 檔案中，因為這些編碼將 0x80-0xFF 映射為可顯示字元，避免 UTF-8 多字節導致語法錯誤。

編碼陷阱：為何 UTF-8 會導致 500 錯誤

• UTF-8 是多字節編碼：取反後的位元組序列（如 0x9C 0x9E ...）在 UTF-8 中可能構成無效多字節序列，PHP 解析器會拋出 Parse error 或直接 500。
• ISO-8859-1 是單字節編碼：每個位元組獨立映射一個字碼位，任意位元組序列均為合法字串，PHP 可正常解析。
• 編輯器陷阱：現代編輯器預設以 UTF-8 儲存，複製貼上含高位元組的代碼會自動轉碼或破壞位元組序列。必須在編輯器中將檔案編碼設為 ISO-8859-1 或 Western European (Windows-1252) 後再貼上/儲存。

偵測與防禦策略

1. 靜態掃描特徵

• 檢測 ~'...' 或 ~\"...\" 後接變數調用 $x(...) 模式。
• 檢測檔案中含有高比例非 ASCII 字元（> 0x7F）且無合法 UTF-8 序列。
• 工具：php -l 語法檢查、RIPS、PHPStan 自訂規則、YARA 規則匹配二進位字串模式。

2. 運行時防護

• 禁用危險函數：disable_functions = assert,eval,system,exec,shell_exec,passthru,popen,proc_open
• OpenRASP / Swoole Hook：攔截 assert、call_user_func 等動態調用，檢查參數來源。
• Suhosin / Snuffleupagus：限制 assert() 行為、禁止可變函數名調用敏感函數。

3. 編碼正規化

在 Web 應用防火牆 (WAF) 或 PHP 輸入過濾層，將請求體統一轉為 UTF-8 並移除/替換非法位元組序列，使取反編碼的 Payload 失效。

4. 檔案完整性監控 (FIM)

監控 Web 目錄下 .php/.phtml/.php5 等檔案的建立/修改，計算雜湊值並與基線比對，異常即時告警。

總結

位取反免殺技術利用 PHP 字串位運算與編碼特性，將惡意代碼偽裝為無意義二進位資料。理解其編碼依賴性（必須為單字節編碼）與動態調用模式，是偵測與防禦的關鍵。防禦應採取「靜態掃描 + 運行時限制 + 檔案監控」多層次策略，並定期更新特徵庫應對變種。

免責聲明：本文技術細節僅供安全研究人員理解攻擊原理、提升防禦能力。任何未經授權的滲透測試、Webshell 植入、系統入侵均屬違法行為，嚴禁實施。