搜索

[14610] 2019-09-20_冰蝎动态二进制加密WebShell特征分析

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2019-09-20_冰蝎动态二进制加密WebShell特征分析 冰 蝎 动 态 二 进 制 加 密 W e b S h e l l 特 征 分 析 l o w l i n e s s   F r e e B u f   2 0 1 9 - 0 9 - 2 0 概 述 概 述 冰 蝎 一 款 新 型 加 密 网 站 管 理 客 户 端 ， 在 实 际 的 渗 透 测 试 过 程 中 有 非 常 不 错 的 效 果 ， 能 绕 过 目 前 市 场 上 的 大 部 分 冰 蝎 一 款 新 型 加 密 网 站 管 理 客 户 端 ， 在 实 际 的 渗 透 测 试 过 程 中 有 非 常 不 错 的 效 果 ， 能 绕 过 目 前 市 场 上 的 大 部 分 W A F 、 探 针 设 备 。 本 文 将 通 过 在 虚 拟 环 境 中 使 用 冰 蝎 ， 通 过 、 探 针 设 备 。 本 文 将 通 过 在 虚 拟 环 境 中 使 用 冰 蝎 ， 通 过 w i r e s h a r k 抓 取 冰 蝎 通 信 流 量 ， 结 合 平 时 在 授 权 渗 透 抓 取 冰 蝎 通 信 流 量 ， 结 合 平 时 在 授 权 渗 透 中 使 用 冰 蝎 马 经 验 分 析 并 总 结 特 征 。 中 使 用 冰 蝎 马 经 验 分 析 并 总 结 特 征 。 版 本 介 绍 版 本 介 绍 目 前 冰 蝎 已 经 迭 代 6 个 版 本 下 载 地 址 ， 从 最 初 的 v 1 . 0 版 本 到 目 前 最 新 的 版 本 v 2 . 0 . 1 ， 其 中 v 1 . 0 版 本 可 以 从 此 处 下 载 到 。 冰 蝎 最 初 的 版 本 对 于 环 境 的 要 求 较 为 苛 刻 ， 仅 支 持 部 分 环 境 ， 绝 大 部 分 环 境 中 都 无 法 连 接 成 功 ， 目 前 最 新 版 本 可 使 用 范 围 有 了 较 大 的 提 升 ， P H P   5 - P H P   7 全 版 本 支 持 ， J a v a 最 低 支 持 至 1 . 6 ， . N E T 最 低 支 持 至 2 . 0 。 冰 蝎 最 初 版 本 U s e r - A g e n t 头 为 客 户 端 J D K 版 本 ， v 1 . 1 开 始 新 增 随 机 U s e r A g e n t 支 持 ， 每 次 会 话 会 从 1 7 种 常 见 U s e r A g e n t 中 随 机 选 取 。 由 于 冰 蝎 在 通 信 过 程 中 使 用 A E S 加 密 ， J a v a 和 . N e t 默 认 支 持 A E S 加 密 ， p h p 环 境 中 需 要 开 启 o p e n s s l 扩 展 ， v 2 . 0 更 新 以 后 ， P H P 环 境 加 密 方 式 根 据 服 务 器 端 支 持 情 况 动 态 选 择 ， 不 再 依 赖 o p e n s s l ， 使 得 冰 蝎 有 了 更 大 的 发 挥 空 间 。 J S P 冰 蝎 马 ， 此 处 不 作 冰 蝎 马 分 析 。 P H P 冰 蝎 马 通 信 流 量 分 析 通 信 流 量 分 析
在 本 地 搭 建 环 境 抓 取 冰 蝎 流 量 来 进 行 简 单 的 特 征 分 析 ， 主 要 测 试 冰 蝎 最 初 版 本 和 最 新 版 本 ， v 1 . 0 和 v 2 . 0 . 1 ， 提 取 通 信 关 键 特 征 。 服 务 端 虚 拟 机 w i n 7 、 客 户 端 本 地 主 机 w i n 1 0 、 T o m c a t 8 ， 客 户 端 服 务 端 J a v a 环 境 均 为 1 . 8 。 V 1 . 0 版 本 冰 蝎 连 接 版 本 冰 蝎 连 接 抓 取 到 的 通 信 流 量 如 下 ：
从 W i r e s h a r k 中 抓 到 的 数 据 包 中 可 以 看 出 ， 冰 蝎 与 传 统 的 管 理 工 具 一 样 ， 操 作 请 求 均 为 P O S T 。 从 流 量 包 中 可 以 清 楚 看 到 请 求 头 中 携 带 的 U s e r - A g e n t :   J a v a / 1 . 8 . 0 _ 1 8 1 为 客 户 端 J a v a 环 境 的 版 本 且 会 随 着 客 户 端 的 J a v a 环 境 而 变 化 ， C o n t e n t - T y p e :   a p p l i c a t i o n / o c t e t - s t r e a m 表 示 以 二 进 制 流 传 输 数 据 ， 响 应 体 的 数 据 被 加 密 ， 无 法 看 出 响 应 的 内 容 是 什 么 ， C o n t e n t - T y p e :   a p p l i c a t i o n / o c t e t - s t r e a m 代 表 二 进 制 流 也 不 能 作 为 判 定 的 依 据 ， 暂 时 无 法 提 取 的 有 效 的 特 征 ， 但 是 注 意 到 冰 蝎 在 建 立 之 前 会 有 一 个 G E T 请 求 ， 咱 们 在 最 新 版 本 中 看 一 下 会 不 会 有 这 个 G E T 请 求 。 V 2 . 0 . 1 版 本 冰 蝎 连 接 版 本 冰 蝎 连 接 冰 蝎 v 2 . 0 . 1 连 接 成 功 ， 抓 取 到 流 量 包 如 下 ： 我 们 通 过 查 看 P O S T 数 据 包 发 现 除 上 述 提 到 冰 蝎 增 加 了 随 机 的 U s e r - A g e n t 和 v 1 . 0 并 无 其 它 本 质 上 的 区 别 。 但 是 我 们 注 意 到 依 然 会 有 G E T 请 求 ， 冰 蝎 检 测 的 难 点 在 于 在 通 信 过 程 中 数 据 通 过 加 密 传 输 ， 难 以 提 取 特 征 ， 下 面 我 们 比 较 一 下 两 个 版 本 之 间 在 连 接 过 程 中 发 起 的 G E T 请 求 。 V 1 . 0 请 求 包 详 情 如 下 ：
V 2 . 0 . 1 请 求 包 详 情 如 下 ： 通 过 比 较 发 现 ， 冰 蝎 在 连 接 之 前 会 发 送 一 个 G E T 请 求 ， 服 务 端 如 果 正 常 会 响 应 一 个 1 6 位 的 字 符 串 。 其 实 冰 蝎 每 一 次 连 接 请 求 都 会 向 服 务 端 发 送 一 次 G E T 请 求 获 取 1 6 位 的 密 钥 ， 这 1 6 位 的 字 符 串 就 是 密 钥 ， 在 客 户 端 和 服 务 端 的 通 信 过 程 中 使 用 密 钥 进 行 加 密 以 达 到 免 杀 的 目 的 ， 因 此 只 要 我 们 能 在 流 量 中 发 现 这 样 特 征 的 流 量 ， 便 可 以 发 现 隐 藏 在 流 量 中 的 冰 蝎 w e b s h e l l 。 冰 蝎 特 征 总 结 冰 蝎 特 征 总 结 检 测 请 求 方 式 ： R e q u e s t . m e t h o d =   G E T 检 测 请 求 资 源 ： R e q u e s t . u r l =   / [ w . ] * . [ a - z A - Z ] { 3 , 4 } ? w { 0 , 2 0 } = d { 0 , 1 0 } 检 测 服 务 端 响 应 （ 仅 1 6 位 密 钥 ） ： R e s p o n s e . b o d y . s t a r t w i t h   = w { 1 6 }
上 述 正 则 仅 供 参 考 ， 实 际 过 程 中 需 要 防 止 规 则 被 绕 过 ， 例 如 ： s h e l l 的 名 字 、 后 缀 （ 可 能 利 用 解 析 漏 洞 等 ） 、 密 码 的 长 度 等 等 。 本 次 仅 从 v 1 . 0 和 v 2 . 0 . 1 中 去 分 析 ， 实 际 在 目 前 的 版 本 中 都 存 在 获 取 密 钥 这 个 请 求 ， 由 于 篇 幅 有 限 ， 只 举 例 说 明 了 这 个 两 个 版 本 。 文 末 总 结 文 末 总 结 与 检 测 传 统 的 网 站 管 理 工 具 不 同 的 ， 中 国 菜 刀 、 中 国 蚁 剑 、 c 刀 等 都 从 P O S T 请 求 中 去 提 取 特 征 ， 而 冰 蝎 在 通 信 过 程 中 使 用 加 密 传 输 无 法 获 取 明 文 ， 因 此 ， 利 用 冰 蝎 在 和 服 务 端 通 信 过 程 中 会 获 取 密 钥 的 特 性 去 检 测 也 许 会 是 一 种 可 行 的 方 法 。 参 考 链 接 参 考 链 接 基 于 流 量 侧 检 测 冰 蝎 w e b s h e l l 交 互 通 讯 ( 点 击 底 部 阅 读 原 文 查 看 ) * 本 文 作 者 ： 本 文 作 者 ： l o w l i n e s s ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐

阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理