由于很多企业为了防止源码泄露，都会使用加密扩展将代码进行加密，那么我们就可以就将计就计，将webshell也利用扩展加密，将特征消除，从而达到免杀的效果

1.php-beast

扩展地址

下载dll，并添加至ext中

在php.ini 中添加该扩展

修改configure.ini

当然也可以不使用默认密钥

在aes_algo_handler.c中可以修改默认密钥

当然如果没有密钥其实是无法生成一个能被解析的php文件，因此还需要通过逆向获取dll中的密钥

破解参考：

2.screw_plus

环境搭建

破解参考：

3.总结

基于扩展的免杀，如果知道密钥，经加密后的webshell是不具备任何特征的，基本上直接通杀。

具体步骤通过phpinfo获取扩展信息，根据不同的加密扩展进行尝试利用默认密钥进行加密，通过访问webshell来判断密钥是否正确，当然，这种方法其实只能用于权限维持需要拿到权限后获取扩展文件破解后，才能稳定获取密钥，进而加密webshell