搜索

[21860] 2021-04-11_如何快速检测出冰蝎V3.0？

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2021-04-11_如何快速检测出冰蝎V3.0？ 如 何 快 速 检 测 出 冰 蝎 V 3 . 0 ？ L e m o n S e c   2 0 2 1 - 0 4 - 1 1 免 责 声 明 免 责 声 明 郑 重 声 明 ： 本 号 所 涉 及 的 技 术 、 思 路 和 工 具 仅 供 以 安 全 为 目 的 的 学 习 交 流 使 用 ， 任 何 人 不 得 将 其 用 于 非 法 用 途 ， 否 则 后 果 自 行 承 担 ！ 转 自 ： 海 青 安 全 研 究 实 验 室 在 去 年 大 型 攻 防 演 练 期 间 ， 冰 蝎 的 “ 横 空 出 世 ” 让 很 多 防 守 单 位 措 手 不 及 ， 也 苦 不 堪 言 ， 但 随 后 ， 针 对 冰 蝎 的 特 点 ， 安 全 厂 商 也 纷 纷 做 出 应 对 措 施 ， 更 新 自 家 安 全 产 品 。 而 今 年 的 攻 防 实 战 号 角 才 刚 吹 响 ， 没 想 到 冰 蝎 便 以 “ 新 面 貌 ” 卷 土 重 来 ， 再 次 让 多 家 防 守 单 位 应 对 不 及 。 本 文 将 介 绍 冰 蝎 V 3 . 0 的 特 点 ， 并 给 予 应 对 方 式 ， 希 望 以 此 帮 助 实 战 期 间 的 防 守 单 位 。 一 冰 蝎 冰 蝎 V 3 . 0 1 、 、 冰 蝎 的 起 源 冰 蝎 的 起 源 传 统 w e b s h e l l 管 理 工 具 “ 菜 刀 ” 的 攻 击 流 量 特 征 明 显 ， 容 易 被 检 测 设 备 拦 截 ， 攻 击 方 迫 切 需 求 具 有 加 密 通 信 功 能 的 w e b s h e l l 。 由 于 流 量 加 密 ， 传 统 的 W A F 、 I D S 设 备 难 以 检 测 。 因 此 ， 一 款 动 态 二 进 制 加 密 网 站 管 理 客 户 端 “ 冰 蝎 ” 应 运 而 生 ， 这 给 安 全 设 备 造 成 很 大 困 扰 。 冰 蝎 （ B e h i n d e r ） 是 一 款 W e b s h e l l 管 理 工 具 。 经 过 3 . 0 版 本 的 发 布 ， 新 版 本 的 冰 蝎 修 改 了 旧 版 本 的 流 量 特 征 。 2 、 冰 蝎 、 冰 蝎 3 . 0   b e t a 7
2 0 2 1 年 4 月 8 日 ， 冰 蝎 项 目 网 址 公 布 了 B e h i n d e r _ V 3 . 0   B e t a   7 版 本 ， 更 新 日 志 中 修 复 了 一 些 操 作 显 示 不 正 常 的 问 题 ， 新 增 了 J a v a 内 存 马 注 入 功 能 、 反 向 D M Z 功 能 、 基 于 端 口 映 射 的 的 S o c k s 代 理 以 及 能 与 C o b a l t S t r i k e 工 具 的 联 动 功 能 等 等 。 对 比 起 冰 蝎 之 前 的 版 本 ， 冰 蝎 3 取 消 了 动 态 密 钥 的 获 取 ， 目 前 很 多 w a f 等 设 备 都 做 了 冰 蝎 2 的 流 量 特 征 分 析 ， 所 以 3 取 消 了 动 态 密 钥 获 取 ； 只 有 在 无 动 态 密 钥 交 互 失 败 后 ， 才 会 进 入 常 规 的 密 钥 交 互 阶 段 。 （ 更 多 详 情 可 参 考 项 目 地 址 ： h t t p s : / / g i t h u b . c o m / r e b e y o n d / B e 3 h i n d e r ） 以 下 针 对 一 些 特 征 进 行 分 析 ： p h p 抓 包 分 析 ： 数 据 包 如 下 ： 1 ） A c c e p t 头 中 有 以 下 字 段 ， 属 于 弱 特 征 ： a p p l i c a t i o n / x h t m l + x m l a p p l i c a t i o n / x m l a p p l i c a t i o n / s i g n e d - e x c h a n g e 2 ） U A 头 的 字 段 属 于 弱 特 征 。 通 过 b u r p 可 以 修 改 , 冰 蝎 3 . 0 内 置 的 默 认 1 6 个 u s e r A g e n t 都 比 较 老 。 j s p 抓 包 分 析 ：
1 ） 字 段 C o n t e n t - T y p e :   a p p l i c a t i o n / o c t e t - s t r e a m 是 强 特 征 。 o c t e t - s t r e a m   为 只 能 提 交 一 个 二 进 制 文 件 ， 而 且 只 能 是 流 ( 或 者 字 节 数 组 ) 。 可 以 说 ， 冰 蝎 V 3 . 0 的 改 版 ， 让 去 年 防 守 方 们 针 对 冰 蝎 所 做 的 部 分 措 施 和 方 法 都 付 诸 东 流 。 二 针 对 冰 蝎 针 对 冰 蝎 V 3 . 0 的 防 御 建 议 的 防 御 建 议 1 、 可 防 御 点 、 可 防 御 点 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c ( 1 )   重 点 防 御 文 件 上 传 、 文 件 写 入 漏 洞 ( 2 )   对 冰 蝎 V 3 . 0 的 内 置 所 有 类 型 W e b s h e l l 的 流 量 侧 进 行 分 析 ， 针 对 性 检 测 各 个 类 型 w e b s h e l l ( 3 )   开 启 异 常 流 量 监 控 ， 检 测 反 弹 S h e l l 、 命 令 执 行 等 高 危 行 为 ( 4 )   做 好 安 全 基 线 的 检 查 ， 及 时 修 正 安 全 基 线 ， 对 可 疑 文 件 的 可 疑 行 为 做 好 记 录 预 警 ， 方 便 审 计
觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理