搜索

[16090] 2020-11-14_哥斯拉Godzilla运行原理探寻

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2020-11-14_哥斯拉Godzilla运行原理探寻 哥 斯 拉 G o d z i l l a 运 行 原 理 探 寻 n e r c i s   F r e e B u f   2 0 2 0 - 1 1 - 1 4 前 段 时 间 在 这 里 看 到 这 个 工 具 ： 哥 斯 拉 G o d z i l l a 。 团 队 小 伙 伴 对 称 感 兴 趣 ， 特 意 下 载 下 来 分 析 一 下 。 探 寻 原 理 探 寻 原 理 密 码 （ 密 码 （ p a s s ） 和 密 钥 （ ） 和 密 钥 （ k e y ） ） 将 j s p   s h e l l 格 式 调 整 一 下 ， 分 析 。 发 现 k e y 取 前 1 6 位 m d 5 值 硬 编 码 保 存 生 成 密 码 （ p o s t 参 数 ） 和 密 钥 （ k e y ） 的 校 验 m d 5 值 认 证 代 码 分 析 认 证 代 码 分 析 使 用 “ 测 试 连 接 ” 功 能 ， 分 析 认 证 ， 返 回 为 空
对 应 代 码 ， 将 p o s t 值 进 行 b 6 4 解 密 后 吗 ， 使 用 x 函 数 解 密 ， 再 提 取 p a y l o a d x 函 数 是 a e s 的 加 解 密 功 能 ， 加 解 密 密 钥 （ x c ） 就 是 k e y 的 m d 5 前 1 6 位 因 此 ， 正 确 的 k e y 就 是 正 确 的 加 解 密 密 钥 ， t r y 内 代 码 执 行 不 出 错 就 表 示 认 证 通 过 m d 5 使 用 使 用 根 据 分 析 发 现 返 回 时 ， 先 取 校 验 M D 5 值 的 前 1 6 位 返 回 ， 再 返 回 s h e l l 的 a e s + b 6 4 数 据 ， 最 后 取 校 验 后 1 6 位 返 回 ， 猜 测 返 回 包 解 密 是 根 据 这 个 来 的
某 个 返 回 包 拦 截 一 下 返 回 ， 将 C 改 成 A 提 示 初 始 化 失 败 j a r 返 回 处 理 返 回 处 理 使 用 j a d x - g u i 打 开 一 下 工 具 j a r 包 ， 在 源 码 中 找 到 返 回 包 处 理 函 数
查 看 一 下 j s p 使 用 继 续 分 析 调 用 方 式 ， 随 意 查 看 一 个 ， 返 回 处 理 过 的 数 据 内 容 j a r 内 加 解 密 内 加 解 密 搜 索 a e s 字 符 串 ， 查 找 解 密 方 法 ， 发 现 在 c r y p t i o n 下 的 j a v a a e s 中 有 解 密 函 数
可 以 看 到 程 序 将 s h e l l 配 置 按 j s p   s h e l l 代 码 流 程 生 成 的 校 验 m d 5 值 ， 并 且 拆 分 成 2 个 1 6 位 字 符 串 ， 让 本 地 加 解 密 配 置 与 j s p s h e l l 一 一 对 应 关 键 函 数 关 键 函 数 加 解 密 函 数 和 校 验 m d 5 值 查 找 函 数 具 体 实 现 ， 从 返 回 包 中 截 取 s h e l l 内 容
到 此 发 现 前 面 总 结 错 误 ， 返 回 包 内 的 m d 5 值 只 用 于 认 证 密 码 和 密 钥 ， 并 不 用 于 解 密 数 据 内 容 ， 程 序 解 密 是 根 据 本 地 配 置 参 数 来 的 。 p a y l o a d 内 容 内 容 修 改 j s p   s h e l l 代 码 ， 使 其 输 出 b a s e 6 4 编 码 的 数 据 “ 进 入 ” 功 能 的 某 个 返 回 包 b a s e 6 4 解 码 一 下
继 续 分 析 发 现 ， 在 “ 进 入 ” 操 作 时 p o s t 数 据 3 0 多 K B 是 在 加 载 各 个 函 数 功 能 因 为 后 续 的 操 作 是 直 接 调 用 的 函 数 ， 下 图 是 调 用 “ g e t B a s i c s I n f o ” 函 数 j a r 内 搜 索 一 下
思 考 思 考 参 考 哥 斯 拉 利 用 加 密 ： A E S 编 码 ： B a s e 6 4 认 证 ： M D 5 我 们 可 以 选 择 异 或 方 式 来 处 理 先 异 或 再 编 码 ， 使 用 m d 5 认 证 ： X O R + b a s e 6 4 + M D 5 先 编 码 再 异 或 ， 使 用 s h a 1 认 证 ： b a s e 6 4 + X O R + s h a 1 其 他 只 要 是 能 还 原 的 都 行 （ 哔 哔 ： “ 凯 撒 位 移 ” ） ， 也 许 能 用 g z i p 格 式 来 处 理 数 据 ？ 过 流 量 检 测 的 方 式 很 多 ， 主 要 还 是 上 传 的 s h e l l 不 被 查 杀 ， 使 用 的 内 存 加 载 方 式 实 现 ， t q l 。 相 关 技 术 介 绍 可 以 看 这 个 《 浅 谈 哥 斯 拉 内 存 S h e l l 技 术 》 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理