搜索

[21759] 2021-03-11_HW防守基于冰蝎的特征检测

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2021-03-11_HW防守基于冰蝎的特征检测 H W 防 守   |   基 于 冰 蝎 的 特 征 检 测 L e m o n S e c   2 0 2 1 - 0 3 - 1 1 前 言 前 言 临 近 H W ， 作 为 萌 新 的 我 在 网 上 找 了 许 多 大 佬 们 关 于 “ 冰 蝎 ” 流 量 特 征 的 文 章 ， 以 此 作 为 分 享 ， 在 我 们 正 式 H W 时 ， 可 能 会 有 所 帮 助 ， 当 监 控 设 备 发 现 这 些 流 量 ， 作 为 防 守 方 也 能 做 出 准 确 的 判 断 。 避 免 丢 分 甚 至 服 务 器 被 端 本 文 内 容 大 多 来 自 网 络 本 文 内 容 大 多 来 自 网 络 收 集 收 集 （ （ 出 处 会 标 在 下 文 出 处 会 标 在 下 文 ） ） 如 有 问 题 还 望 各 位 大 佬 指 正 。 如 有 问 题 还 望 各 位 大 佬 指 正 。 莫 要 喷 俺 莫 要 喷 俺 0 x 0 0   简 介 简 介 “ 冰 蝎 ” 是 一 款 基 于 J a v a 开 发 的 动 态 加 密 通 信 流 量 的 新 型 W e b s h e l l 客 户 端 。 老 牌   W e b s h e l l   管 理 神 器 — — 中 国 菜 刀 中 国 菜 刀 的 攻 击 流 量 特 征 明 显 ， 容 易 被 各 类 安 全 设 备 检 测 ， 实 际 场 景 中 越 来 越 少 使 用 ， 加 密   W e b s h e l l 正 变 得 日 趋 流 行 。 由 于 通 信 流 量 被 加 密 ， 传 统 的   W A F 、 I D S   设 备 难 以 检 测 ， 给 威 胁 狩 猎 带 来 较 大 挑 战 。 冰 蝎 其 最 大 特 点 就 是 对 交 互 流 量 进 行 对 称 加 密 ， 且 加 密 秘 钥 是 由 随 机 数 函 数 动 态 生 成 ， 因 此 该 客 户 端 的 流 量 几 乎 无 法 检 测 。 冰 蝎 目 前 最 新 版 本 为 v 2 . 0 . 1 ， 兼 容 性 已 经 日 益 完 善 ， 包 括 虚 拟 终 端 、 S o c k s 代 理 、 文 件 管 理 、 反 弹 s h e l l 、 数 据 库 管 理 等 强 大 的 功 能 ， 方 便 部 署 使 用 。 0 x 0 1   “ 冰 蝎 ” 获 取 秘 钥 的 过 程 图 片 来 自 红 蓝 对 抗 图 片 来 自 红 蓝 对 抗 — — 加 密 加 密 W e b s h e l l “ 冰 蝎 冰 蝎 ” 攻 防 攻 防
冰 蝎 在 连 接 w e b s h e l l 的 时 , 会 对 w e b s h e l l 进 行 两 次 请 求 访 问
为 什 么 进 行 两 次 访 问 为 什 么 进 行 两 次 访 问 ? 在 别 的 文 章 没 有 看 到 关 于 这 个 问 题 的 答 案 在 别 的 文 章 没 有 看 到 关 于 这 个 问 题 的 答 案 , 于 是 去 反 编 译 冰 蝎 源 码 于 是 去 反 编 译 冰 蝎 源 码
    通 过 对 代 码 阅 读 , 可 以 发 现 冰 蝎 为 了 实 现 可 以 在 w e b s h e l l 内 添 加 任 意 内 容   ( 比 如 g i f 8 9 a 子 类 的 文 件 头 或 者 其 它 标 示 字 符 )   冰 蝎 在 初 始 化 密 钥 时 会 对 w e b s h e l l 进 行 两 次 访 问 , 然 后 比 较 两 次 页 面 返 回 的 差 异 , 把 两 次 请 求 都 相 同 的 字 符 记 录 一 个 位 置 , 后 续 加 密 会 用 到 这 两 个 位 置 ( b e g i n I n d e x , e n d I n d e x )
)     如 图 , 根 据 数 据 包 , b e g i n I n d e x : 8   e n d I n d e x : 4   ( 含 换 行 ) , 冰 蝎 开 始 从 数 据 流 中 截 取 被 加 密 的 数 据 从 下 标 8 开 始 到 ( 数 据 包 总 长 度 - 4 )       W a f 可 以 针 对 于 返 回 类 型 为   " t e x t / h t m l "   的 数 据 包 中 加 一 些 空 格 或 者 换 行 , 来 扰 乱 冰 蝎 的 数 据 包 , 导 致 冰 蝎 无 法 运 行 。   ( 为 什 么 要 对 返 回 类 型 为   " t e x t / h t m l "   的 扰 乱 , 别 的 格 式 不 可 以 吗 ?   答 案 : j s p 默 认 返 回 类 型 就 是   " t e x t / h t m l "   h t m l 添 加 一 些 空 格 或 者 换 行 , 并 不 会 影 响 网 页 的 正 常 运 行 ) 0 x 0 2   " 冰 蝎 冰 蝎 "   解 析 解 析 C o o k i e 流 程 流 程
    我 们 可 以 看 到 请 求 协 议 头 中 的 C o o k i e 字 段 , 冰 蝎 在 合 并 处 理 C o o k i e 的 时 候 没 有 考 虑 到 , C o o k i e 的 一 些 属 性   ( 比 如   P a t h   或 者 H t t p O n l y   之 类 或 者 其 它 的 )   冰 蝎 直 接 把 返 回 协 议 头 中 的 S e t - C o o k i e 字 段 直 接 添 加 到 下 一 个 请 求 包 的 C o o k i e 字 段 中 正 常 的 请 求 是 不 会 携 带 C o o k i e 属 性 的 , 这 可 是 识 别 冰 蝎 流 量 最 直 接 的 一 种 办 法 0 X 0 3   " 冰 蝎 冰 蝎 "   动 态 加 载 动 态 加 载
    冰 蝎 动 态 加 载 的 原 理 就 是 每 次 都 发 送 一 个 c l a s s 字 节 码 ( 其 它 语 言 也 一 样 )   冰 蝎 通 过 a s m 动 态 修 改 c l a s s 字 节 码 变 量 内 容 , 实 现 携 带 参 数 动 态 执 行 , 冰 蝎 在 获 取 完 密 钥 之 后 ( 2 个 请 求 ) , 第 三 个 请 求 就 是 获 取 B a s i c I n f o ( 服 务 器 的 一 些 信 息 ) , 冰 蝎 的 B a s i c I n f o 功 能 并 没 有 动 态 修 改 参 数 ( 一 个 获 取 服 务 器 信 息 的 能 有 啥 参 数 ) , 这 会 导 致 每 次 获 取 B a s i c I n f o 的 数 据 包 都 是 固 定 的 大 小 。 0 x 0 4   U s e r A g e n t 字 段 （ 字 段 （ 可 绕 过 可 绕 过 ） ） 冰 蝎 内 置 了 十 余 种 U s e r A g e n t ， 每 次 连 接 s h e l l 会 随 机 选 择 一 个 进 行 使 用 。 以 下 U s e r A g e n t 列 表 是 从 冰 蝎 的 j a r 包 中 提 取 的 ， 可 见 大 多 是 比 较 早 的 浏 览 器 ， 现 在 很 少 有 人 使 用 。 而 且 有 些 国 产 浏 览 器 甚 至 精 确 到 了 小 版 本 ， 众 所 周 知 ， 很 多 国 产 浏 览 器 是 默 认 自 动 更 新 ， 正 常 用 户 很 少 用 过 早 的 版 本 ， 因 此 可 以 作 为 强 特 征 使 用 。 如 果 发 现 历 史 流 量 中 同 一 个 源 I P 访 问 某 个 U R L 时 ， 命 中 了 以 下 列 表 中 多 个 U s e r A g e n t ， 那 基 本 确 认 就 是 冰 蝎 了 。         M o z i l l a / 5 . 0   ( W i n d o w s   N T   6 . 1 ;   W O W 6 4 )   A p p l e W e b K i t / 5 3 5 . 1 ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 1 4 . 0 . 8 3 5 . 1 6 3   S a f a r i / 5 3 5 . 1         M o z i l l a / 5 . 0   ( W i n d o w s   N T   6 . 1 ;   W O W 6 4 ;   r v : 6 . 0 ) G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 6 . 0         M o z i l l a / 5 . 0   ( W i n d o w s   N T   6 . 1 ;   W O W 6 4 )   A p p l e W e b K i t / 5 3 4 . 5 0 ( K H T M L ,   l i k e   G e c k o )   V e r s i o n / 5 . 1   S a f a r i / 5 3 4 . 5 0   ”   B O p e r a / 9 . 8 0   ( W i n d o w s   N T 6 . 1 ;   U ;   z h - c n )   P r e s t o / 2 . 9 . 1 6 8   V e r s i o n / 1 1 . 5         M o z i l l a / 5 . 0   ( c o m p a t i b l e ;   M S I E   9 . 0 ;   W i n d o w s   N T   6 . 1 ;   W i n 6 4 ; x 6 4 ;   T r i d e n t / 5 . 0 ;   . N E T   C L R   2 . 0 . 5 0 7 2 7 ;   S L C C 2 ;   . N E T   C L R   3 . 5 . 3 0 7 2 9 ;   . N E T   C L R 3 . 0 . 3 0 7 2 9 ;   M e d i a   C e n t e r   P C   6 . 0 ;   I n f o P a t h . 3 ;   . N E T 4 . 0 C ;   T a b l e t   P C   2 . 0 ;   . N E T 4 . 0 E )
同 样 ， U s e r A g e n t 可 由 黑 客 自 定 义 ， 因 此 该 特 征 可 能 会 被 绕 过 。 0 x 0 5   总 结 总 结     W A F 可 以 对 一 个 i p 连 续 访 问 2 次 的 数 据 包 进 行 截 取 , 比 对 相 同 字 符 , 比 对 之 后 , 截 取 两 次 不 同 的 数 据 , 如 果 剩 下 的 是 1 6 位 的 k e y , 就 可 以 证 明 这 两 个 数 据 包 就 是 冰 蝎 发 出 的 , 第 三 个 数 据 包 通 过 “ 冰 蝎 冰 蝎 ” 解 析 解 析 c o o k i e 流 程 流 程 和 “ 冰 蝎 冰 蝎 ” 动 态 加 载 动 态 加 载 中 的 一 些 b u g , 可 以 1 0 0 % 的 匹 配 到 冰 蝎 流 量 , 不 会 误 报 。 0 x 0 6   参 考 链 接 参 考 链 接 这 里 推 荐 一 位 大 佬 的 文 章 聚 合 平 台 这 里 推 荐 一 位 大 佬 的 文 章 聚 合 平 台 所 有 资 料 应 有 尽 有         M o z i l l a / 4 . 0   ( c o m p a t i b l e ;   M S I E   8 . 0 ;   W i n d o w s   N T   6 . 1 ;   W O W 6 4 ; T r i d e n t / 4 . 0 ;   S L C C 2 ;   . N E T   C L R   2 . 0 . 5 0 7 2 7 ;   . N E T   C L R   3 . 5 . 3 0 7 2 9 ;   . N E T   C L R   3 . 0 . 3 0 7 2 9 ; M e d i a   C e n t e r   P C   6 . 0 ;   . N E T 4 . 0 C ;   I n f o P a t h . 3 )         M o z i l l a / 4 . 0   ( c o m p a t i b l e ;   M S I E   8 . 0 ;   W i n d o w s   N T   5 . 1 ; T r i d e n t / 4 . 0 ;   G T B 7 . 0 )         M o z i l l a / 4 . 0   ( c o m p a t i b l e ;   M S I E   7 . 0 ;   W i n d o w s   N T   5 . 1 )   ,   7         M o z i l l a / 4 . 0   ( c o m p a t i b l e ;   M S I E   6 . 0 ;   W i n d o w s   N T   5 . 1 ;   S V 1 )         M o z i l l a / 5 . 0   ( W i n d o w s ;   U ;   W i n d o w s   N T   6 . 1 ;   ) A p p l e W e b K i t / 5 3 4 . 1 2   ( K H T M L ,   l i k e   G e c k o )   M a x t h o n / 3 . 0   S a f a r i / 5 3 4 . 1 2         M o z i l l a / 4 . 0   ( c o m p a t i b l e ;   M S I E   7 . 0 ;   W i n d o w s   N T   6 . 1 ;   W O W 6 4 ; T r i d e n t / 5 . 0 ;   S L C C 2 ;   . N E T   C L R   2 . 0 . 5 0 7 2 7 ;   . N E T   C L R   3 . 5 . 3 0 7 2 9 ;   . N E T   C L R   3 . 0 . 3 0 7 2 9 ; M e d i a   C e n t e r   P C   6 . 0 ;   I n f o P a t h . 3 ;   . N E T 4 . 0 C ;   . N E T 4 . 0 E )         M o z i l l a / 4 . 0   ( c o m p a t i b l e ;   M S I E   7 . 0 ;   W i n d o w s   N T   6 . 1 ;   W O W 6 4 ; T r i d e n t / 5 . 0 ;   S L C C 2 ;   . N E T   C L R   2 . 0 . 5 0 7 2 7 ;   . N E T   C L R   3 . 5 . 3 0 7 2 9 ;   . N E T   C L R   3 . 0 . 3 0 7 2 9 ; M e d i a   C e n t e r   P C   6 . 0 ;   I n f o P a t h . 3 ;   . N E T 4 . 0 C ;   . N E T 4 . 0 E ;   S E   2 . X   M e t a S r   1 . 0 )         M o z i l l a / 5 . 0   ( W i n d o w s ;   U ;   W i n d o w s   N T   6 . 1 ;   e n - U S ) A p p l e W e b K i t / 5 3 4 . 3   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 6 . 0 . 4 7 2 . 3 3   S a f a r i / 5 3 4 . 3   S E   2 . X M e t a S r         M o z i l l a / 5 . 0   ( c o m p a t i b l e ;   M S I E   9 . 0 ;   W i n d o w s   N T   6 . 1 ;   W O W 6 4 ; T r i d e n t / 5 . 0 ;   S L C C 2 ;   . N E T   C L R   2 . 0 . 5 0 7 2 7 ;   . N E T   C L R   3 . 5 . 3 0 7 2 9 ;   . N E T   C L R   3 . 0 . 3 0 7 2 9 ; M e d i a   C e n t e r   P C   6 . 0 ;   I n f o P a t h . 3 ;   . N E T 4 . 0 C ;   . N E T 4 . 0 E )         M o z i l l a / 5 . 0   ( W i n d o w s   N T   6 . 1 )   A p p l e W e b K i t / 5 3 5 . 1   ( K H T M L , l i k e   G e c k o )   C h r o m e / 1 3 . 0 . 7 8 2 . 4 1   S a f a r i / 5 3 5 . 1   Q Q B r o w s e r / 6 . 9 . 1 1 0 7 9 . 2 0         M o z i l l a / 4 . 0   ( c o m p a t i b l e ;   M S I E   7 . 0 ;   W i n d o w s   N T   6 . 1 ;   W O W 6 4 ; T r i d e n t / 5 . 0 ;   S L C C 2 ;   . N E T   C L R   2 . 0 . 5 0 7 2 7 ;   . N E T   C L R   3 . 5 . 3 0 7 2 9 ;   . N E T   C L R   3 . 0 . 3 0 7 2 9 ; M e d i a   C e n t e r   P C   6 . 0 ;   I n f o P a t h . 3 ;   . N E T 4 . 0 C ;   . N E T 4 . 0 E )   Q Q B r o w s e r / 6 . 9 . 1 1 0 7 9         M o z i l l a / 5 . 0   ( c o m p a t i b l e ;   M S I E   9 . 0 ;   W i n d o w s N T   6 . 1 ;   W O W 6 4 ;   T r i d e n t / 5 . 0 ) h t t p s : / / m p . w e i x i n . q q . c o m / s / Z D 3 4 U Q 0 g P 5 c v D c t V o I a t I A   / /   H A C K 学 习 呀   B e i c h e n D r e a m h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / w e b / 2 1 6 1 3 3 . h t m l h t t p s : / / z h u a n l a n . z h i h u . c o m / p / 1 3 5 2 2 7 4 5 4 h t t p s : / / b l o g . c s d n . n e t / d i a n z h o n g s o u 2 3 7 9 / a r t i c l e / d e t a i l s / 1 0 0 5 9 9 1 1 6 h t t p s : / / w w w . c n b l o g s . c o m / g u o j i a 0 0 0 / p / 1 1 6 4 1 0 2 3 . h t m l h t t p s : / / b l o g . c s d n . n e t / q q _ 3 6 3 3 4 4 6 4 / a r t i c l e / d e t a i l s / 9 9 9 7 8 1 9 3
一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦 h t t p : / / w e c h a t . d o o n s e c . c o m  
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理