Question

Godzilla 更新了 webshell 的逻辑，加密步骤有一点变化：

数据在发送时，经过 encode + base64 两层加密，解密代码如下：

<?php
$pass='pass';
$payloadName='payload';
$key='3c6e0b8a9c15224a';
function encode($D,$K){
  for($i=0;$i<strlen($D);$i++) {
      $c = $K[$i+1&15];
      $D[$i] = $D[$i]^$c;
  }
  return $D;
}
$data=encode(base64_decode("",$key));
echo $data;
?>

数据在接收时，除了采用前 16 位和后 16 为的干扰字符外，内容采用 gzip 压缩编码 + 异或 + base64，解密代码如下：

<?php
function encode($D,$K){
    for($i=0;$i<strlen($D);$i++) {
        $c = $K[$i+1&15];
        $D[$i] = $D[$i]^$c;
    }
    return $D;
}
function gzdecode($data)
{
    return gzinflate(substr($data,10,-8));
}

$pass='pass';
$payloadName='payload';
$key='3c6e0b8a9c15224a';
$data=gzdecode(encode(base64_decode(""),$key));
echo $data;
?>

附：session 中存储的代码： https://www.wenjiangs.com/wp-content/uploads/2021/11/session.txt ​