搜索

[14029] 2019-04-25_从源码层面看一款精致的病毒软件应具备哪些特质

文档创建者：s7ckTeam
浏览次数：24
最后更新：2025-01-18
2019-04-25_从源码层面看一款精致的病毒软件应具备哪些特质 从 源 码 层 面 看 一 款 精 致 的 病 毒 软 件 应 具 备 哪 些 特 质 原 创   F _ F   F r e e B u f   2 0 1 9 - 0 4 - 2 5 一 、 前 言 一 、 前 言 说 起 来 也 比 较 久 了 ， 故 事 起 源 于 去 年 说 起 来 也 比 较 久 了 ， 故 事 起 源 于 去 年 1 1 月 份 ， 我 在 公 司 办 公 环 境 搭 建 了 一 个 月 份 ， 我 在 公 司 办 公 环 境 搭 建 了 一 个 d v w a 的 靶 场 环 境 ， 用 于 的 靶 场 环 境 ， 用 于 w e b 漏 洞 的 漏 洞 的 测 试 ， 不 经 意 的 发 现 测 试 ， 不 经 意 的 发 现 a c c e s s   l o g 日 志 增 长 迅 速 ， 查 看 之 后 吓 出 一 身 冷 汗 。 日 志 增 长 迅 速 ， 查 看 之 后 吓 出 一 身 冷 汗 。 日 志 部 分 截 图 如 下 ： 一 看 就 知 道 这 是 s t r u t s 的 攻 击 p a y l o a d ， 但 是 我 搭 建 的 是 p h p 站 点 啊 ， 拿 j a v a 的 p a y l o a d 来 打 我 ， 有 意 义 么 ！ 气 愤 之 余 ， 顺 着 p a y l o a d 里 面 的 下 载 地 址 ， 找 到 了 一 个 压 缩 包 ， 分 析 后 才 发 现 是 黑 客 进 行 攻 击 的 主 程 序 源 代 码 。 该 病 毒 与 腾 讯 之 前 在 F r e e B u f 上 分 析 的 S a t a n 特 征 一 致 ， 腾 讯 捕 获 并 分 析 的 是 可 执 行 程 序 ， 我 溯 源 获 取 到 的 是 源 代 码 。 参 考 链 接 ： h t t p s : / / w w w . f r e e b u f . c o m / c o l u m n / 1 9 7 2 0 5 . h t m l 。 看 了 腾 讯 的 分 析 后 ， 也 对 这 次 黑 客 攻 击 有 了 快 速 、 清 晰 的 认 识 。 二 、 正 文 二 、 正 文 本 文 主 要 从 源 代 码 来 看 看 一 款 精 致 的 病 毒 软 件 ， 它 应 该 具 备 什 么 样 的 功 能 ， 模 块 化 设 计 该 如 何 规 划 。 源 代 码 解 压 ： 程 序 用 c + + 编 写 ， 总 共 1 4 个 文 件 ， 简 要 介 绍 如 下 ： m a i n . c p p ： ： 程 序 的 主 要 执 行 入 口 ， 创 建 多 线 程 执 行 扫 描 ， 同 时 调 用 s t r u t s 2 攻 击 模 块 、 t o m c a t 攻 击 模 块 、 w e b l o g i c 攻 击 模 块 ， j b o s s 攻 击 模 块 ， s s h 攻 击 模 块 。 攻 击 成 功 后 ， 调 用 p u b l i c . c p p 的 上 传 模 块 ， 将 攻 击 成 功 的 目 标 站 点 地 址 通 过 自 定 义 b a s e 6 4 编 码 上 传 到 黑 客 站 点 。 s t r u t s 2 . c p p ： ： 包 括 0 4 5 、 0 4 6 、 0 5 7 的 攻 击 p a y l o a d ， 满 足 条 件 时 ， 调 用 p u b l i c 的 上 传 模 块 ， 将 攻 击 成 功 的 目 标 站 点 通 过 自 定 义 b a s e 6 4 编 码 上 传 到 黑 客 站 点 。 t o m c a t . c p p ： ： 设 置 1 6 进 制 编 码 的 j a v a   w e b s h e l l ， 在 破 解 t o m c a t 管 理 后 台 用 户 名 / 密 码 后 ， 尝 试 上 传 并 执 行
w e b s h e l l ， w e b s h e l l 主 要 用 户 识 别 操 作 系 统 类 型 ， 智 能 下 载 f a s t . e x e / f t 3 2 / f t 6 4 挖 款 程 序 。 w e b l o g i c . c p p ： ： 包 括 C V E - 2 0 1 7 - 1 0 2 7 1 ( W L S   组 件 的 反 序 列 化 漏 洞 ) ， C V E - 2 0 1 8 - 2 8 9 4 （ 任 意 文 件 上 传 ） 的 攻 击 p a y l o a d 。 j b o s s . c p p ： ： 包 括 C V E - 2 0 1 3 - 4 8 1 0 （ 反 序 列 化 漏 洞 ） ， C V E - 2 0 1 7 - 1 2 1 4 9 （ 反 序 列 化 命 令 执 行 漏 洞 ） ， 后 台 文 件 上 传 漏 洞 s s h 2 . c p p ： ： 通 过 配 置 的 s s h 用 户 名 / 密 码 组 合 ， 尝 试 登 陆 目 标 主 机 ， 登 陆 成 功 则 执 行 下 载 挖 矿 程 序 。 核 心 代 码 截 图 ： 主 程 序 m a i n . c p p 2 . 1   程 序 不 传 入 参 数 ， 执 行 程 序 不 传 入 参 数 ， 执 行 G e t L o c a l I P ： ： 获 取 本 地 所 有 网 卡 ， 在 非 回 环 地 址 调 用 T a s k A l l 。
T a s k A l l 调 用 多 线 程 进 行 端 口 扫 描 ： p S c a n 逻 辑 判 断 ： 如 果 端 口 为 2 2 ， 则 进 行 s s h 爆 破 ， 爆 破 成 功 后 ， 基 于 主 机 信 息 进 行 远 程 挖 矿 程 序 下 载 ：
如 果 端 口 不 是 2 2 ， 则 调 用 H t t p C h e c k 函 数 ， 根 据 端 口 设 置 h t t p 协 议 类 型 ， 然 后 再 调 用 A l l S c a n 进 行 攻 击 。 以 上 诸 如 s t r u t s 2 . c p p 、 t o m c a t . c p p 、 w e b l o g i c . c p p 、 j b o s s . c p p 中 的 攻 击 代 码 ， 均 在 A l l S c a n 中 调 用 ：
T o m c a t 攻 击 模 块 ， 程 序 中 内 置 用 户 名 / 密 码 清 单 ， 进 行 破 解 。 综 合 ： 综 合 ： 在 程 序 未 传 参 时 ， 程 序 自 动 获 取 本 地 所 有 网 卡 的 i p 地 址 ， 开 启 多 线 程 在 B 段 上 进 行 端 口 扫 描 ， 如 发 现 主 机 2 2 开 放 ， 则 尝 试 破 解 ， 其 他 协 议 则 尝 试 w e b 访 问 ， 设 置 H T T P / H T T P S 协 议 ， 然 后 将 所 有 p a y l o a d 依 次 打 过 去 ， 控 制 主 机 下 载 挖 矿 程 序 ， 如 成 功 利 用 ， 则 将 站 点 信 息 b a s e 6 4 编 码 回 传 到 黑 客 站 点 。 2 . 2   传 入 传 入 i p s ， 从 本 地 ， 从 本 地 i p s 文 件 中 依 次 读 取 文 件 中 依 次 读 取 i p 清 单 ， 在 清 单 ， 在 i p 地 址 的 地 址 的 C 段 上 调 用 段 上 调 用 p S c a n 进 行 扫 描 。 进 行 扫 描 。 部 分 逻 辑 代 码 如 下 ：
2 . 3   其 他 模 式 说 明 其 他 模 式 说 明 若 命 令 为 a t t ， 则 命 令 行 后 是 具 体 的 站 点 地 址 ， 此 时 调 用 A l l S c a n ， 用 所 有 w e b   p a y l o a d 进 行 攻 击 ； 若 命 令 为 f i l e ， 则 命 令 行 后 是 文 件 汇 总 的 站 点 清 单 ， 判 断 h t t p / h t t p s 协 议 后 ， 调 用 A l l S c a n 进 行 攻 击 ； 若 命 令 为 s s h ， 则 命 令 后 是 文 件 汇 总 的 i p 清 单 ， 则 根 据 内 置 的 s s h 用 户 名 / 密 码 进 行 破 解 ， 成 功 后 控 制 主 机 下 载 挖 矿 程 序 。 三 、 其 余 核 心 代 码 截 图 三 、 其 余 核 心 代 码 截 图 s t r u t s 2 . c p p ： S t r u t s 2 - 0 4 5 ， 区 分 w i n d o w s / l i n u x 3 2 / l i n u x 6 4 位 ， 设 置 不 同 的 挖 矿 程 序 地 址 ： S t r u t s 2 - 0 4 6 p a y l o a d ：
S t r u t s 2 - 0 5 7 p a y l o a d ： j b o s s . c p p ： 四 、 分 析 回 顾 与 反 思 四 、 分 析 回 顾 与 反 思 1 1 1 . 9 0 . 1 5 8 . 2 2 5 是 黑 客 回 传 数 据 的 站 点 ， 当 前 已 无 法 打 开 ， 之 前 看 到 很 多 t x t 文 件 ， 还 不 知 道 是 什 么 意 思 ， 应 该 有 很 多 终 端 已 经 沦 陷 。 程 序 的 模 块 化 设 计 对 于 企 业 安 全 人 员 红 蓝 对 抗 、 批 量 验 证 站 点 组 件 漏 洞 都 具 有 一 定 的 参 考 意 义 。 反 思 ： 做 好 安 全 感 知 和 攻 击 溯 源 对 于 企 业 而 言 确 实 很 重 要 ， 比 如 部 署 一 些 蜜 罐 ， 可 以 在 攻 击 早 起 就 能 察 觉 ， 另 外 终 端 的 批 量 文 件 和 进 程 检 索 ， 很 基 础 也 很 重 要 ！ * 本 文 原 创 作 者 ： F _ F ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 推 推 荐 荐 阅 阅 读 读

阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理