搜索

[8499] 2014-12-16_ModSecurity技巧：使用ssdeep检测Webshell

文档创建者：s7ckTeam
浏览次数：28
最后更新：2025-01-17
2014-12-16_ModSecurity技巧：使用ssdeep检测Webshell M o d S e c u r i t y 技 巧 ： 使 用 s s d e e p 检 测 W e b s h e l l F r e e B u f   2 0 1 4 - 1 2 - 1 6 最 新 版 本 的 最 新 版 本 的 M o d S e c u r i t y 增 加 了 增 加 了 s s d e e p 检 测 检 测 w e b s h e l l 的 接 口 ， 于 是 猛 地 回 忆 起 搞 客 户 端 安 全 （ 游 戏 安 全 ） 的 时 候 买 过 一 的 接 口 ， 于 是 猛 地 回 忆 起 搞 客 户 端 安 全 （ 游 戏 安 全 ） 的 时 候 买 过 一 本 书 《 恶 意 软 件 分 析 诀 窍 与 工 具 箱 － 对 抗 本 书 《 恶 意 软 件 分 析 诀 窍 与 工 具 箱 － 对 抗 “ 流 氓 流 氓 ” 软 件 的 技 术 与 利 器 》 ， 这 本 书 就 提 到 了 用 软 件 的 技 术 与 利 器 》 ， 这 本 书 就 提 到 了 用 s s d e e p 来 查 找 恶 意 软 件 来 查 找 恶 意 软 件 （ （ w e b s h e l l 是 恶 意 软 件 的 一 种 ， 安 全 领 域 是 互 通 的 嘛 ） 。 本 文 介 绍 如 何 使 用 它 来 检 测 是 恶 意 软 件 的 一 种 ， 安 全 领 域 是 互 通 的 嘛 ） 。 本 文 介 绍 如 何 使 用 它 来 检 测 w e b s h e l l 。 。 一 一   、 安 装 、 安 装 s s d e e p 下 载 s s d e e p 并 安 装   h t t p : / / s s d e e p . s o u r c e f o r g e . n e t / t a r   z x v f   s s d e e p - 2 . 1 2 . t a r . g z c d   s s d e e p - 2 . 1 2 . / c o n f i g u r e m a k e m a k e   i n s t a l l 二 、 识 别 二 、 识 别 w e b s h e l l 实 例 实 例 接 下 来 我 们 下 载 一 个 w e b s h e l l ， 试 一 试 如 何 使 用 s s d e e p 来 识 别 w e b s h e l l 以 以 b 3 7 4 k . p h p 为 例 为 例 首 先 获 得 w e b s h e l l   b 3 7 4 k . p h p 的 s s d e e p   h a s h （ f u z z y   h a s h i n g ） 值 ， 并 存 储 到 b 3 7 _ h a s h s . t x t 文 件 中 s s d e e p   - b   w e b s h e l l / b 3 7 4 k . p h p   > b 3 7 _ h a s h s . t x t c a t   b 3 7 _ h a s h s . t x t s s d e e p , 1 . 1 - - b l o c k s i z e : h a s h : h a s h , f i l e n a m e 3 8 4 : U s a S w s F 3 R t J h w h x Y 5 j a n x 0 R i g 5 x J x 5 2 F R s B U 0 i p g F H F 3 x R : 4 4 s n x 0 R i g 5 x 7 5 2 E B U x p c 5 , " b 3 7 4 k . p h p " 然 后 使 用 这 个 值 来 获 得 相 似 度 ， 相 似 度 为 1 0 0 （ 当 然 啦 ， 因 为 没 有 做 任 何 修 改 ） s s d e e p   - b m   b 3 7 _ h a s h s . t x t   w e b s h e l l / b 3 7 4 k . p h p b 3 7 4 k . p h p   m a t c h e s   b 3 7 _ h a s h s . t x t : b 3 7 4 k . p h p   ( 1 0 0 ) 为 了 方 便 理 解 ， 我 们 拿 s s d e e p 与 m d 5 做 类 比 m d 5   w e b s h e l l / b 3 7 4 k . p h p M D 5   ( w e b s h e l l / b 3 7 4 k . p h p )   =   b 8 d 3 f 0 f 9 a d 8 b 1 0 8 3 f 2 4 0 7 2 f 8 c f e 1 3 e 0 4 我 们 知 道 对 文 件 取 m d 5 值 是 用 于 验 证 文 件 的 完 整 性 的 ， 因 为 它 对 任 意 的 修 改 都 能 感 受 到 （ h a s h 碰 撞 小 概 率 事 件 除 外 ） ， 而 s s d e e p 则 用 于 计 算 文 件 相 似 度 ， 它 是 通 过 计 算 上 下 文 相 关 的 分 段 h a s h 值 （ f u z z y   h a s h i n g ） 来 判 断 文 件 相 似 度 的 。 在 识 别 w e b s h e l l 的 场 景 中 ， 我 们 可 以 先 获 取 样 本 的 s s d e e p   h a s h 值 ， 然 后 设 置 相 似 度 范 围 ， 来 识 别 同 一 系 列 的 变 形 s h e l l 。 想 想 一 个 小 白 黑 客 获 得 一 个 好 用 的 w e b s h e l l 后 ， 第 一 件 事 会 干 嘛 ？ 肯 定 是 改 变 登 录 账 号 密 码 。 c p   w e b s h e l l / b 3 7 4 k . p h p   w e b s h e l l / b 3 7 4 k . p h p . b a k v i m   w e b s h e l l / b 3 7 4 k . p h p . b a k 想 雁 过 留 痕 的 ， 估 计 还 会 改 w e b s h e l l 的 t i t l e 等 文 本 来 标 记 到 此 一 游 。 心 思 稍 微 重 点 的 想 绕 过 W A F 的 童 鞋 ， 说 不 定 还 会 修 改 c o o k i e 中 的 关 键 字 ， 例 如 批 量 替 换 c o o k i e   t x t a u t h 关 键 字 。
修 改 完 毕 后 ， 分 别 用 m d 5 与 s s d e e p 来 看 发 生 了 什 么 。 m d 5   w e b s h e l l / b 3 7 4 k . p h p . b a k M D 5   ( w e b s h e l l / b 3 7 4 k . p h p . b a k )   =   b 8 d 3 f 0 f 9 a d 8 b 1 0 8 3 f 2 4 0 7 2 f 8 c f e 1 3 e 0 4 m d 5 值 发 生 了 变 化 ， 说 明 w e b s h e l l 文 本 内 容 发 生 了 变 化 ； 接 着 使 用 s s d e e p 来 查 看 修 改 后 的 w e b s h e l l 的 相 似 度 s s d e e p   - b m   b 3 7 _ h a s h s . t x t   w e b s h e l l / * b 3 7 4 k . p h p   m a t c h e s   b 3 7 _ h a s h s . t x t : b 3 7 4 k . p h p   ( 1 0 0 )   # 原 始 w e b s h e l l b 3 7 4 k . p h p . b a k   m a t c h e s   b 3 7 _ h a s h s . t x t : b 3 7 4 k . p h p   ( 9 7 ) ＃ 修 改 了 登 录 账 号 与 作 者 标 记 b 3 7 4 k . p h p . b a k 2   m a t c h e s   b 3 7 _ h a s h s . t x t : b 3 7 4 k . p h p   ( 8 8 ) ＃ 修 改 了 登 录 账 号 、 作 者 标 记 、 c o o k i e 特 征 最 后 ， 我 们 选 择 一 个 合 适 的 相 似 度 来 判 断 是 否 为 w e b s h e l l （ 真 实 场 景 中 ， 调 参 找 到 合 适 的 阈 值 才 是 考 验 人 的 活 . . . ) 。 例 如 ， 只 筛 选 相 似 度 9 0 以 上 的 s s d e e p   - t   9 0   - b m   b 3 7 _ h a s h s . t x t   w e b s h e l l / *   b 3 7 4 k . p h p   m a t c h e s   b 3 7 _ h a s h s . t x t : b 3 7 4 k . p h p   ( 1 0 0 ) b 3 7 4 k . p h p . b a k   m a t c h e s   b 3 7 _ h a s h s . t x t : b 3 7 4 k . p h p   ( 9 7 ) 三 、 扩 展 三 、 扩 展 除 了 使 用 除 了 使 用 s s d e e p 来 查 找 相 似 的 恶 意 软 件 （ 静 态 文 本 ） ， 我 们 还 可 以 逆 向 思 维 ， 根 据 相 似 度 来 判 断 混 在 正 常 进 程 中 的 来 查 找 相 似 的 恶 意 软 件 （ 静 态 文 本 ） ， 我 们 还 可 以 逆 向 思 维 ， 根 据 相 似 度 来 判 断 混 在 正 常 进 程 中 的 恶 意 进 程 ， 依 据 是 进 程 在 运 行 时 由 于 变 量 变 化 而 发 生 的 变 动 是 轻 微 的 ， 而 代 码 被 加 壳 后 的 的 变 化 是 相 当 显 著 的 ， 例 恶 意 进 程 ， 依 据 是 进 程 在 运 行 时 由 于 变 量 变 化 而 发 生 的 变 动 是 轻 微 的 ， 而 代 码 被 加 壳 后 的 的 变 化 是 相 当 显 著 的 ， 例 如 如 U P X 加 壳 会 使 相 似 度 瞬 降 到 加 壳 会 使 相 似 度 瞬 降 到 0 % 。 。 参 考 ： 参 考 ： h t t p : / / b l o g . s p i d e r l a b s . c o m / 2 0 1 4 / 1 1 / m o d s e c u r i t y - a d v a n c e d - t o p i c - o f - t h e - w e e k - d e t e c t i n g - m a l w a r e - w i t h - f u z z y - h a s h i n g . h t m l 《 恶 意 软 件 分 析 诀 窍 与 工 具 箱 － 对 抗 “ 流 氓 ” 软 件 的 技 术 与 利 器 》 微 博 h t t p : / / w e i b o . c o m / t a n j i t i 博 客 h t t p : / / d a n q i n g d a n i . b l o g . 1 6 3 . c o m / g i t h u b   h t t p s : / / g i t h u b . c o m / t a n j i t i 豆 瓣 h t t p : / / w w w . d o u b a n . c o m / p e o p l e / t a n j i t i / [ 作 者 作 者 / 碳 基 体 ， 本 文 属 于 碳 基 体 ， 本 文 属 于 F r e e B u f . C O M 独 家 发 布 文 章 ， 未 经 许 可 禁 止 转 载 独 家 发 布 文 章 ， 未 经 许 可 禁 止 转 载 ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理