共计 3298 个字符，预计需要花费 9 分钟才能阅读完成。
1. 检测原理
要想检测图片中是否含有木马脚本，首先从制作原理来分析这种木马程序。这种木马程序是十六进制编码写的，图片的十六进制代码中主要包含 <% () %>、<? () ?>、<script | /script>，所以我们可以通过检测十六进制代码来检测木马脚本。
2. 解决方案
2.1 编写 Upload 类
要想上传图片文件，我们要自己先定义一个上传文件的方法，然后方法中调用 thinkphp 中框架写好的 Upload 类，但是 tp 框架中的 upload 类没有检测木马图片的功能，所以我们可以自己写一个含有检测功能的 upload 类。
<?php
/**
+------------------------------------------------------------------------------
* Upload 文件上传类
+------------------------------------------------------------------------------
* @package Upload
+------------------------------------------------------------------------------
*/
class Upload {
private static $image = null;
private static $status = 0;
private static $suffix = null;
private static $imageType = array('.jpg', '.bmp','.gif','.png'); // 允许的图片类型
private static $message = array( // 文件上传错误信息
'0' => '没有错误发生，文件上传成功。',
'1' => '上传的文件超过了 php.ini 中 upload_max_filesize 选项限制的值。',
'2' => '上传文件的大小超过了 HTML 表单中 MAX_FILE_SIZE 选项指定的值。',
'3' => '文件只有部分被上传。',
'4' => '没有文件上传。',
'5' => '未能通过安全检查的文件。',
'6' => '找不到临时文件夹。',
'7' => '文件写入失败。',
'8' => '文件类型不支持',
'9' => '上传的临时文件丢失。',
);
//@ 开始执行文件上传
public static function start($feild = 'file') {if (!empty($_FILES)) {self::$status = $_FILES[$feild]['error'];
if (self::$status > 0)
return array('status' => self::$status, 'msg' => self::$message[self::$status]);
self::$image = $_FILES[$feild]['tmp_name'];
self::$suffix = strtolower(strrchr($_FILES[$feild]['name'], '.'));
return array('status' => self::_upload(), 'path' => self::$image, 'msg' => self::$message[self::$status]);
} else {return array('status' => self::$status, 'msg' => self::$message[self::$status]);
}
}
//@ 私有 上传开始
private static function _upload($path = './upload/') {date_default_timezone_set('PRC');
$newFile = $path . date('Y/m/d/His') . rand(100, 999) . self::$suffix; // 定义上传子目录
self::umkdir(dirname($newFile));
if (is_uploaded_file(self::$image) && move_uploaded_file(self::$image, $newFile)) {
self::$image = $newFile; // 生成的新文件名
if (in_array(self::$suffix, self::$imageType)) // 判断上传类型是否符合规定
return self::checkHex(); // 返回木马脚本检测的返回值
else
return self::$status = 0;
} else {return self::$status = 9;}
}
//@ 私有 16 进制检测
private static function checkHex() {if (file_exists(self::$image)) {$resource = fopen(self::$image, 'rb');
$fileSize = filesize(self::$image);
fseek($resource, 0); // 把文件指针移到文件的开头
if ($fileSize > 512) { // 若文件大于 521B 文件取头和尾
$hexCode = bin2hex(fread($resource, 512));
fseek($resource, $fileSize - 512); // 把文件指针移到文件尾部
$hexCode .= bin2hex(fread($resource, 512));
} else { // 取全部
$hexCode = bin2hex(fread($resource, $fileSize));
}
fclose($resource);
/* 匹配 16 进制中的 <% ( ) %> */
/* 匹配 16 进制中的 <? ( ) ?> */
/* 匹配 16 进制中的 <script | /script> 大小写亦可 */ /* 核心 整个类检测木马脚本的核心在这里 通过匹配十六进制代码检测是否存在木马脚本 */
if (preg_match("/(3c25.*?28.*?29.*?253e)|(3c3f.*?28.*?29.*?3f3e)|(3C534352495054)|(2F5343524950543E)|(3C736372697074)|(2F7363726970743E)/is", $hexCode))
self::$status = 5;
else
self::$status = 0;
return self::$status;
} else {return self::$status = 9;}
}
//@ 私有 创建目录
private static function umkdir($dir) {if (!file_exists($dir) && !is_dir($dir)) {self::umkdir(dirname($dir));
@mkdir($dir);
}
}
}这个类配合自己定义的上传图片的方法 可以检测上传图片是否存在木马脚本
3. 制作木马图片
3.1 制作过程
1. 随便找一张图片，名字改成 1.jpg。
2. 将 <%eval request(“keio”)%> 存为 1.php。
3.copy 1.jpg /b + 1.php /a 2.jpg 存为 1.bat 文件。
（具体操作方法：打开 - 运行 -cmd，进入下面这个界面，然后 cd 进入放置文件的路径，然后输入命令 copy 1.jpg/b+1.php 2.jpg 然后回车就系统就会自动把这两个文件组合起来, 形成一个含有木马脚本的图片。）
3.2 查看图片
你可以用 text 文档打开 2.jpg，就发现我们的一句话木马就写入到了图片中。
解释：
复制当前目录下的 1.jpg 图片和当前目录下的 1.php 文件并以 ASCII 代码的方式合并为 2.jpg 图片
运行 1.bat 就会出现一个图片 2.jpg
而这个 2.jpg 就是已经做好的木马了
4. 上传检测
我们将制作的木马图片上传，检测我们的十六进制检测木马脚本的方法是不是好使。
实践是检验真理的唯一途径，大家要手动做一张图片木马进行验证，本人亲测可以检测到。
