搜索

[15407] 2020-05-23_一文详解Webshell

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2020-05-23_一文详解Webshell 一 文 详 解 W e b s h e l l 青 藤 云 安 全   F r e e B u f   2 0 2 0 - 0 5 - 2 3 W e b s h e l l 是 黑 客 经 常 使 用 的 一 种 恶 意 脚 本 ， 其 目 的 是 获 得 对 服 务 器 的 执 行 操 作 权 限 ， 比 如 执 行 系 统 命 令 、 窃 取 是 黑 客 经 常 使 用 的 一 种 恶 意 脚 本 ， 其 目 的 是 获 得 对 服 务 器 的 执 行 操 作 权 限 ， 比 如 执 行 系 统 命 令 、 窃 取 用 户 数 据 、 删 除 用 户 数 据 、 删 除 w e b 页 面 、 修 改 主 页 等 ， 其 危 害 不 言 而 喻 。 黑 客 通 常 利 用 常 见 的 漏 洞 ， 如 页 面 、 修 改 主 页 等 ， 其 危 害 不 言 而 喻 。 黑 客 通 常 利 用 常 见 的 漏 洞 ， 如 S Q L 注 入 、 远 程 文 件 注 入 、 远 程 文 件 包 含 包 含 ( R F I ) 、 、 F T P ， 甚 至 使 用 跨 站 点 脚 本 攻 击 ， 甚 至 使 用 跨 站 点 脚 本 攻 击 ( X S S ) 等 方 式 作 为 社 会 工 程 攻 击 的 一 部 分 ， 最 终 达 到 控 制 网 站 服 务 等 方 式 作 为 社 会 工 程 攻 击 的 一 部 分 ， 最 终 达 到 控 制 网 站 服 务 器 的 目 的 。 器 的 目 的 。 常 见 的 w e b s h e l l 编 写 语 言 为 a s p 、 j s p 和 p h p 。 本 文 将 以 p h p   W e b s h e l l 为 示 例 ， 详 细 解 释 W e b s h e l l 的 常 用 函 数 、 工 作 方 式 以 及 常 用 隐 藏 技 术 。 一 、 一 、 W e b s h e l l 为 何 备 受 黑 客 青 睐 为 何 备 受 黑 客 青 睐 黑 客 使 用 W e b s h e l l 的 第 一 步 通 常 是 将 其 上 传 到 可 以 访 问 的 服 务 器 中 ， 例 如 利 用 用 户 C M S 系 统 的 第 三 方 插 件 中 的 漏 洞 上 传 一 个 简 单 的 p h p   W e b s h e l l 。 当 然 ， W e b s h e l l 类 型 和 作 用 也 不 完 全 相 同 ， 一 些 简 单 的 W e b s h e l l 只 起 到 连 接 外 界 的 作 用 ， 允 许 黑 客 插 入 更 加 精 准 的 恶 意 脚 本 ， 执 行 他 们 所 需 要 的 指 令 ； 另 外 一 些 则 可 能 更 加 复 杂 ， 带 有 数 据 库 或 文 件 浏 览 器 ， 让 黑 客 能 够 从 数 千 英 里 之 外 的 地 方 查 看 入 侵 系 统 的 代 码 和 数 据 。 无 论 何 种 设 计 ， W e b s h e l l 都 极 其 危 险 ， 是 网 络 罪 犯 和 高 级 持 续 威 胁 ( A P T s ) 的 常 用 工 具 。 W e b s h e l l 常 见 的 攻 击 特 点 主 要 有 以 下 几 点 ： 持 久 化 远 程 访 问 持 久 化 远 程 访 问 W e b s h e l l 脚 本 通 常 会 包 含 后 门 ， 黑 客 上 传 W e b s h e l l 之 后 ， 就 可 以 充 分 利 用 W e b s h e l l 的 后 门 实 现 远 程 访 问 并 控 制 服 务 器 ， 从 而 达 到 长 期 控 制 网 站 服 务 器 的 目 的 。 此 外 ， 在 上 传 完 W e b s h e l l 之 后 ， 黑 客 会 选 择 自 己 修 复 漏 洞 ， 以 确 保 没 有 其 他 人 会 利 用 该 漏 洞 。 通 过 这 种 方 式 ， 黑 客 就 可 以 一 种 低 调 的 姿 态 ， 避 免 与 管 理 员 进 行 任 何 交 互 ， 同 时 仍 然 获 得 相 同 的 结 果 。 提 权 提 权 在 服 务 器 没 有 配 置 错 误 的 情 况 下 ， W e b s h e l l 将 在 w e b 服 务 器 的 用 户 权 限 下 运 行 ， 而 用 户 权 限 是 有 限 的 。 通 过 W e b s h e l l ， 黑 客 可 以 利 用 系 统 上 的 本 地 漏 洞 来 实 现 权 限 提 升 ， 从 而 获 得 R o o t 权 限 ， 这 样 黑 客 基 本 上 可 以 在 系 统 上 做 任 何 事 情 ， 包 括 安 装 软 件 、 更 改 权 限 、 添 加 和 删 除 用 户 、 窃 取 密 码 、 阅 读 电 子 邮 件 等 等 。 隐 蔽 性 极 强 隐 蔽 性 极 强 W e b s h e l l 可 以 嵌 套 在 正 常 网 页 中 运 行 ， 且 不 容 易 被 查 杀 。 它 还 可 以 穿 越 服 务 器 防 火 墙 ， 由 于 与 被 控 制 的 服 务 器 或 远 程 主 机 交 互 的 数 据 都 是 通 过 8 0 端 口 传 递 ， 因 此 不 会 被 防 火 墙 拦 截 ， 在 没 有 记 录 流 量 的 情 况 下 ， W e b s h e l l 使 用 p o s t 包 发 送 ， 也 不 会 被 记 录 在 系 统 日 志 中 ， 只 会 在 W e b 日 志 中 记 录 一 些 数 据 提 交 的 记 录 。 二 、 二 、 W e b s h e l l 常 用 的 常 用 的 P H P 函 数 函 数 W e b s h e l l 几 乎 适 用 于 所 有 W e b 编 程 语 言 。 之 所 以 关 注 P H P ， 是 因 为 它 是 w e b 上 使 用 最 广 泛 的 编 程 语 言 。 下 面 是 P H P 中 一 些 执 行 s h e l l 命 令 最 常 用 的 函 数 。 s y s t e m ( ) s y s t e m ( ) 函 数 将 命 令 作 为 参 数 ， 并 输 出 结 果 。 下 面 的 示 例 是 在 W i n d o w s 操 作 系 统 上 运 行 d i r 命 令 ， 然 后 返 回 P H P 文 件 所 在 目 录 的 目 录 列 表 。
类 似 地 ， 在 L i n u x 机 器 上 执 行 l s 命 令 也 会 得 到 类 似 的 结 果 。 e x e c ( ) e x e c ( ) 功 能 是 将 命 令 作 为 参 数 ， 但 不 输 出 结 果 。 如 果 指 定 了 第 二 个 可 选 参 数 ， 则 返 回 结 果 为 数 组 。 否 则 ， 如 果 回 显 ， 只 显 示 结 果 的 最 后 一 行 。 用 e x e c ( ) 函 数 执 行 e c h o 命 令 ， 只 会 输 出 最 后 一 行 命 令 结 果 。 如 果 指 定 了 第 二 个 参 数 ， 则 返 回 结 果 为 数 组 s h e l l _ e x e c ( )
s h e l l _ e x e c ( ) 函 数 类 似 于 e x e c ( ) ， 但 是 ， 其 整 个 输 出 结 果 为 字 符 串 。 p a s s t h r u ( ) p a s s t h r u ( ) 执 行 一 个 命 令 并 返 回 原 始 格 式 的 输 出 。 p r o c _ o p e n ( ) p r o c o p e n ( ) 函 数 可 能 很 难 理 解 。 简 单 地 说 ， 我 们 可 以 使 用 p r o c o p e n ( ) ， 创 建 一 个 处 理 程 序 （ 流 程 ） ， 实 现 脚 本 和 要 运 行 的 程 序 之 间 的 通 信 。 倒 引 号 倒 引 号 很 多 P H P 开 发 人 员 并 没 有 意 识 到 这 一 点 ， 但 是 P H P 会 首 先 执 行 s h e l l 命 令 中 倒 引 号 （ ） 和 单 引 号 （ ’ ） 不 同 。 根 据 以 上 内 容 ， 下 面 是 一 个 最 简 单 的 P H P   W e b s h e l l 。 它 使 用   s y s t e m ( ) 函 数 来 执 行 通 过   ‘ c m d ’   H T T P   请 求 中 G E T 参 数 传 递 过 来 的 命 令 。 我 们 已 经 确 定 了 这 些 函 数 （ 以 及 其 他 一 些 函 数 ） 可 能 非 常 危 险 。 更 危 险 的 是 ， 在 安 装 P H P 时 ， 默 认 情 况 下 会 启 用 所 有 这 些 内 置 P H P 命 令 ， 而 大 多 数 系 统 管 理 员 不 会 禁 用 这 些 函 数 。 如 果 不 确 定 在 系 统 上 是 否 启 用 了 这 些 函 数 ， 输 入 以 下 内 ） 内 的 内 容 。 请 注 意 ， 倒 引 号 （
容 将 返 回 已 启 用 的 危 险 函 数 的 列 表 。 在 采 用 默 认 安 装 的 情 况 下 ， 下 列 函 数 是 默 认 启 用 的 。 三 、 黑 客 如 何 隐 藏 三 、 黑 客 如 何 隐 藏 W e b s h e l l 修 改 报 头 修 改 报 头 黑 客 使 用 用 户 代 理 字 符 串 而 不 是 通 过 $ _ P O S T   请 求 参 数 来 传 递 命 令 的 。 然 后 ， 黑 客 可 以 通 过 将 命 令 放 在 U s e r - A g e n t   H T T P 报 头 中 来 制 作 特 定 的 H T T P 请 求 。 在 服 务 器 日 志 中 可 以 看 到 这 一 行 为 的 效 果 ， 其 中 第 二 个 请 求 中 的 H T T P   U s e r - A g e n t 被 c a t   / e t c / p a s s w d 命 令 替 换 了 。 上 述 方 法 会 产 生 很 大 噪 声 ， 可 以 很 容 易 地 提 示 管 理 员 查 看 服 务 器 日 志 。 但 采 用 下 列 方 法 ， 管 理 员 这 很 难 发 现 。
这 种 方 法 没 有 留 下 关 于 执 行 命 令 的 任 何 可 见 轨 迹 （ 至 少 在 访 问 日 志 中 是 这 样 ） 。 隐 藏 在 正 常 文 件 中 隐 藏 在 正 常 文 件 中 黑 客 用 来 隐 藏 W e b s h e l l 最 简 单 的 一 个 方 法 是 将 它 们 上 传 到 深 层 子 目 录 中 和 / 或 使 用 随 机 名 称 。 此 外 ， 一 种 更 有 效 的 方 法 是 将 W e b s h e l l 代 码 嵌 入 到 现 有 的 合 法 文 件 中 。 或 使 用 C M S （ 例 如 W o r d P r e s s ） 注 意 ： 黑 客 通 常 会 在 函 数 前 使 用 @ 运 算 符 ， 以 防 发 生 任 何 错 误 ， 写 入 错 误 日 志 。 混 淆 混 淆 黑 客 使 用 各 种 混 淆 技 术 ， 以 避 免 被 管 理 员 检 测 到 。 他 们 不 断 提 出 新 的 更 复 杂 的 方 法 来 隐 藏 其 代 码 并 绕 过 安 全 系 统 。 下 面 是 我 们 看 到 的 一 些 最 常 用 的 技 术 。
（ 1 ） 删 除 空 格 换 行 符 通 过 从 代 码 块 中 删 除 空 格 换 行 符 ， 代 码 看 起 来 像 一 个 大 字 符 串 ， 这 就 使 得 代 码 的 可 读 性 降 低 并 且 更 难 识 别 脚 本 要 实 现 什 么 目 的 。 （ 2 ） 加 密 技 术 该 技 术 可 以 对 代 码 进 行 加 密 ， 降 低 代 码 的 可 读 性 ， 并 且 充 分 利 用 运 行 时 可 以 重 建 代 码 的 各 种 函 数 。 （ 3 ） 使 用 H e x 进 行 混 淆 A S C I I 字 符 的 十 六 进 制 值 也 可 以 用 于 进 一 步 混 淆 W e b s h e l l 命 令 ， 下 面 的 例 子 可 以 很 好 地 说 明 混 淆 技 术 在 W e b s h e l l 中 的 应 用 。 以 下 是 上 述 字 符 串 的 十 六 进 制 值 。 因 此 ， 以 下 代 码 可 用 于 接 受 十 六 进 制 编 码 的 字 符 串 并 将 其 转 化 为 P H P 代 码 。
输 出 结 果 类 似 于 下 图 。 （ 4 ） 通 过 可 控 输 入 实 现 混 淆 P H P 常 用 的 可 控 输 入 包 括 :   $ G E T ,   $ P O S T ,   $ R E Q U E S T , $ F I L E S , $ S E R V E R   $ C O O K I E 等 ， 是 P H P 预 定 义 的 变 量 ， 可 以 将 黑 客 自 定 义 的 值 传 递 给 浏 览 器 中 。 以 下 示 例 很 简 单 ， 但 很 实 用 。 虽 然 未 对 代 码 进 行 编 码 或 加 密 ， 但 由 于 它 没 有 使 用 任 何 可 疑 的 函 数 名 （ 例 如 e v a l ( ) 或 a s s e r t ( ) ） 、 冗 长 的 编 码 字 符 串 、 复 杂 的 代 码 ， 因 此 与 之 前 的 代 码 相 比 ， 可 检 测 性 仍 然 较 低 。 最 重 要 的 是 ， 当 管 理 员 查 看 日 志 时 ， 它 不 会 引 起 任 何 危 险 。 四 、 四 、 W e b s h e l l 如 何 使 用 如 何 使 用 我 们 以 W e e v e l y 为 例 ， 来 分 析 W e b s h e l l 是 如 何 使 用 的 。 W e e v e l y 是 一 个 类 似 P H P   t e l n e t 的 轻 量 级 W e b s h e l l ， 具 有 多 个 选 项 ， 在 本 示 例 中 我 们 将 使 用 这 些 选 项 。 为 进 行 演 示 ， 我 们 将 使 用 W e e v e l y 创 建 后 门 代 理 ， 部 署 在 目 标 服 务 器 上 。 我 们 只 需 要 指 定 一 个 密 码 和 一 个 文 件 名 即 可 。 然 后 用 密 码 来 访 问 后 门 。
a g e n t . p h p   包 含 以 下 编 码 文 件 。 将 a g e n t . p h p 重 命 名 为 m a . p h p ， 然 后 将 其 上 传 到 失 陷 的 服 务 器 。 然 后 ， 我 们 不 使 用 浏 览 器 访 问 文 件 ， 而 是 使 用 s h e l l 连 接 到 该 文 件 。 现 在 我 们 已 经 拥 有 了 访 问 目 标 服 务 器 的 后 门 ， 可 以 执 行 命 令 了 。 检 查 服 务 器 的 访 问 日 志 ， 我 们 会 注 意 到 有 些 奇 怪 。 发 送 的 请 求 已 编 码 ， 来 源 网 址 也 似 乎 是 G o o g l e 。 如 果 我 们 要 分 析 日 志 中 是 否 有 恶 意 活 动 ， 这 非 常 有 可 能 对 我 们 造 成 困 扰 ， 因 为 G o o g l e 应 该 是 合 法 的 引 荐 来 源 。 当 然 ， 这 是 防 止 被 检 测 出 来 的 W e b s h e l l 策 略 的 一 部 分 。 我 们 使 用 的 W e b s h e l l 的 另 一 个 有 趣 功 能 是 反 弹 T C P   S h e l l 选 项 。 这 是 指 失 陷 的 服 务 器 将 反 向 与 我 们 建 立 连 接 ， 或 者 我 们 请 求 连 接 到 W e b s h e l l 。 在 源 计 算 机 上 ， 我 们 在 端 口 8 1 8 1 上 设 置 了 N e t c a t 侦 听 器 。
使 用 已 经 建 立 的 后 门 s h e l l 连 接 ， 启 动 反 弹 T C P 请 求 。 现 在 已 经 建 立 了 反 弹 s h e l l 连 接 （ 1 9 2 . 1 6 8 . 5 . 2 5   →   1 9 2 . 1 6 8 . 5 . 2 6 ） 。 通 过 使 用 反 弹 T C P   S h e l l 控 制 服 务 器 ， 而 访 问 或 错 误 日 志 中 没 有 任 何 痕 迹 ， 因 为 通 信 是 通 过 T C P （ 第 4 层 ） 而 不 是 H T T P （ 第 7 层 ） 进 行 的 。 五 、 五 、 W e b s h e l l 检 测 和 预 防 检 测 和 预 防 检 测 检 测   如 果 管 理 员 怀 疑 其 系 统 中 存 在 W e b s h e l l 或 只 是 进 行 例 行 检 查 ， 则 需 要 检 查 以 下 内 容 。 首 先 ， 必 须 针 对 W e b s h e l l 正 在 使 用 的 常 见 关 键 字 过 滤 服 务 器 访 问 和 错 误 日 志 ， 包 括 文 件 名 称 和 / 或 参 数 名 称 。 您 可 根 据 下 面 的 示 例 ， 在 A p a c h e   H T T P   S e r v e r 访 问 日 志 中 的 U R L 中 搜 索 字 符 串 文 件 。 必 须 在 文 件 系 统 （ 通 常 是 W e b 服 务 器 根 目 录 ） 中 搜 索 文 件 或 文 件 名 中 的 通 用 字 符 串 。   如 果 搜 索 到 很 长 的 字 符 串 ， 这 可 能 表 示 已 进 行 了 编 码 。 一 些 后 门 程 序 具 有 数 千 行 代 码 。 搜 索 最 近 X 天 修 改 过 的 文 件 。 在 以 下 示 例 中 ， 我 们 搜 索 了 前 一 天 更 改 的 *   . p h p 文 件 ， 但 建 议 搜 索 所 有 更 改 过 的 文 件 ， 因 为 W e b s h e l l 也 可 以 嵌 入 到 图 像 或 任 何 其 他 文 件 中 。
监 视 网 络 中 存 在 异 常 的 网 络 流 量 和 连 接 。 分 析 . h t a c c e s s 文 件 是 否 进 行 了 修 改 。 以 下 是 攻 击 者 可 能 对 . h t a c c e s s 文 件 进 行 更 改 的 示 例 。 预 防 预 防 通 常 ， 黑 客 会 利 用 W e b 服 务 器 软 件 中 存 在 的 漏 洞 来 安 装 W e b s h e l l 。 因 此 ， 消 除 这 些 漏 洞 对 于 避 免 失 陷 W e b 服 务 器 的 潜 在 风 险 很 重 要 。 以 下 是 一 些 与 W e b s h e l l 相 关 的 预 防 措 施 。 如 果 不 使 用 ， 要 禁 用 危 险 的 P H P 函 数 ， 例 如 e x e c ( ) 、 s h e l l e x e c ( ) 、 p a s s t h r u ( ) 、 s y s t e m ( ) 、 s h o w s o u r c e ( ) 、 p r o c o p e n ( ) 、 p c n t l e x e c ( ) 、 e v a l ( ) 与 a s s e r t ( ) 。 如 果 必 须 要 启 用 这 些 命 令 ， 请 确 保 未 授 权 用 户 无 法 访 问 这 些 脚 本 。 此 外 ， 使 用 e s c a p e s h e l l a r g ( ) 和 e s c a p e s h e l l c m d ( ) 可 以 确 保 不 能 将 用 户 输 入 注 入 到 s h e l l 命 令 中 ， 从 而 导 致 命 令 执 行 漏 洞 。 如 果 W e b 应 用 程 序 正 在 使 用 上 传 表 单 ， 请 确 保 上 传 的 表 单 是 安 全 的 ， 并 且 仅 允 许 上 传 白 名 单 所 允 许 的 文 件 类 型 。 不 要 相 信 用 户 输 入 的 信 息 。 不 要 盲 目 使 用 在 线 论 坛 或 网 站 上 的 代 码 。 对 于 W o r d P r e s s ， 如 果 不 需 要 ， 要 避 免 安 装 第 三 方 插 件 。 如 果 需 要 使 用 插 件 ， 请 确 保 插 接 件 其 信 誉 良 好 且 经 常 更 新 。 在 敏 感 目 录 （ 如 图 片 或 上 传 ） 中 禁 用 P H P 执 行 。 锁 定 W e b 服 务 器 用 户 权 限 。 上 面 给 出 的 是 一 些 简 单 的 W e b s h e l l 检 测 和 预 防 措 施 。 面 对 较 为 复 杂 的 W e b s h e l l 攻 击 ， 则 需 要 采 用 一 些 专 业 的 W e b s h e l l 检 测 工 具 来 实 现 了 。 六 、 总 结 六 、 总 结 W e b s h e l l 编 码 简 单 ， 使 用 方 便 ， 但 由 于 许 多 W e b 服 务 器 的 设 置 方 式 问 题 ， 即 使 是 一 个 简 单 的 脚 本 也 足 以 造 成 严 重 的 破 坏 。 这 就 是 为 什 么 有 成 千 上 万 的 公 开 W e b s h e l l 的 原 因 所 在 。 W e b s h e l l 存 在 如 此 多 的 变 种 ， 导 致 入 侵 检 测 和 入 侵 防 御 系 统 （ I D S / I P S ） 很 难 检 测 到 它 们 ， 尤 其 是 当 使 用 签 名 来 检 测 此 类 W e b s h e l l 时 。 有 些 W e b s h e l l 非 常 复 杂 ， 即 使 进 行 行 为 分 析 ， 也 几 乎 无 法 检 测 到 。 话 虽 如 此 ， 但 W e b s h e l l 只 是 漏 洞 利 用 后 的 实 施 工 具 ， 这 就 意 味 着 首 先 要 尽 早 检 测 出 W e b s h e l l ， 防 止 其 上 传 后 进 行 漏 洞 利 用 。 * 本 文 作 者 ： 青 藤 云 安 全 ， 转 载 请 注 明 来 自 本 文 作 者 ： 青 藤 云 安 全 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理