搜索

[13419] 2018-11-15_一次编码WebShellbypassD盾的分析尝试

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-11-15_一次编码WebShellbypassD盾的分析尝试 一 次 编 码 W e b S h e l l   b y p a s s   D 盾 的 分 析 尝 试 s i 1 e n c e   F r e e B u f   2 0 1 8 - 1 1 - 1 5 前 言 前 言 w e b s h e l l 是 获 得 网 站 的 控 制 权 后 方 便 进 行 之 后 的 入 侵 行 为 的 重 要 工 具 ， 一 个 好 的 是 获 得 网 站 的 控 制 权 后 方 便 进 行 之 后 的 入 侵 行 为 的 重 要 工 具 ， 一 个 好 的 w e b s h e l l 应 该 具 备 较 好 的 隐 蔽 应 该 具 备 较 好 的 隐 蔽 性 能 绕 过 检 测 ， 最 近 偶 然 间 捕 获 到 了 一 个 性 能 绕 过 检 测 ， 最 近 偶 然 间 捕 获 到 了 一 个 w e b s h e l l 的 样 本 经 过 了 的 样 本 经 过 了 4 次 编 码 来 绕 过 检 测 感 觉 功 能 还 挺 强 大 的 ， 于 是 次 编 码 来 绕 过 检 测 感 觉 功 能 还 挺 强 大 的 ， 于 是 就 简 单 分 析 一 下 然 后 再 简 单 的 优 化 了 一 下 发 现 更 就 简 单 分 析 一 下 然 后 再 简 单 的 优 化 了 一 下 发 现 更 n i c e 。 。 0 x 1   功 能 功 能 本 地 访 问 了 一 下 主 要 功 能 也 就 3 个 主 要 包 括 读 取 系 统 信 息 与 当 前 用 户 、 命 令 执 行 和 文 件 上 传 ， 感 觉 还 是 常 规 的 操 作 访 问 界 面 如 下 ： 主 要 代 码 如 下 ： 0 x 2   解 码 解 码 主 要 是 用 了 e v a l 函 数 配 合 b a s e 6 4 进 行 简 单 的 绕 过 ， b a s e _ d e c o d e 函 数 进 行 了 简 单 的 大 小 写 混 淆 都 是 很 常 规 的 操 作 。 对 b a s e 6 4 编 码 的 字 符 串 进 行 解 码 后 得 到 如 下 字 符 串 ， 得 到 如 下 字 符 串 又 是 一 串 代 码 。 出 于 直 觉 对 b a s e 6 4 的 字 符 串 再 一 次 进 行 解 码 ， 得 到 一 串 乱 码 ， 看 来 也 不 是 这 么 容 易 。
关 键 点 定 位 在 了 s t r _ r o t 1 3   和 g z i n f l a t e 二 个 函 数 上 面 ， 就 顺 便 查 了 一 下 这 二 个 函 数 的 用 途 ， 都 是 属 于 一 种 编 码 类 感 觉 这 操 作 很 n i c e 。
然 后 通 过 修 改 一 下 w e b s h e l l 的 内 容 ， 将 解 码 后 的 源 码 就 直 接 输 出 了 ， 算 了 一 个 2 次 b a s e 6 4 、 1 次 s t r _ r o t 1 3 、 1 次 g z i n f l a t e 就 4 次 编 码 了 ， 这 个 几 个 编 码 都 是 标 准 库 里 的 函 数 。 解 码 后 的 代 码 一 共 只 有 6 0 + 行 ， 短 小 精 悍 。 0 x 3   详 细 代 码 详 细 代 码 感 觉 还 是 很 6 的 操 作 ， 先 收 集 了 网 站 系 统 的 信 息 I P 、 路 径 、 权 限 一 类 的 数 据 通 过 邮 件 的 方 式 先 发 送 到 了 已 经 设 定 好 的 邮 箱 s e t o r a n . t a r g e t 2 6 @ g m a i l . c o m ， 这 个 操 作 不 错 。 同 时 检 测 本 的 一 个 b a j a k 的 s e s s i o n 值 ， 确 保 邮 件 不 会 重 复 发 送 。
在 本 地 创 建 一 个 副 本 放 在 指 定 的 目 录 下   i m a g e s / s t o r i e s / f o o d / f o o t e r . p h p ： 后 续 就 是 一 个 命 令 执 行 和 文 件 上 传 的 操 作 ， 还 有 一 个 读 取 配 置 的 文 件 的 代 码 上 二 级 目 录 的 c o n f i g u r a t i o n . p h p ， 说 实 话 并 不 是 很 理 解 。 0 x 4   监 测 监 测 简 单 抓 包 看 了 一 下 流 量 层 面 执 行 了 一 个 i p c o n f i g ， 没 有 捕 获 到 比 较 有 用 的 信 息 ， 命 令 主 要 是 以 c m d 的 参 数 进 行 传 递 。
感 觉 操 作 很 牛 逼 的 w e b s h e l l ， 应 该 不 会 被 查 杀 出 来 的 ， 毕 竟 解 码 还 是 比 较 复 杂 的 。 然 后 用 D 盾 进 行 查 杀 ， 报 警 提 示 为 4 级 ， 这 好 不 科 学 只 有 给 O r z 了 。 看 看 提 示 的 是 什 么 ， 主 要 依 据 是 e v a l 函 数 跟 了 一 个 b a s e 6 4 的 字 符 串 ， 总 觉 得 有 什 么 不 对 ， 按 理 说 不 应 该 D 盾 应 该 是 没 有 解 码 的 ！ ！ ！ 迷 之 自 信 ！ ！ 按 照 这 个 猜 想 ， 我 自 己 创 建 了 一 个 h e l l o   w o r l d 的 字 符 ， 按 照 通 用 的 方 式 进 行 编 码 ， 然 后 使 用 D 盾 进 行 查 杀 ， 果 然 查 杀 出 来 了 ！ ！ ！ 2 个 文 件 、 2 个 可 疑 。 D 盾 的 确 是 通 过 这 二 个 特 征 进 行 识 别 的 ， 主 要 特 征 就 是 如 下 ， 那 想 想 办 法 绕 过 呢 。
首 先 测 试 一 下 注 释 绕 过 b a s e 6 4 的 检 测 ， 的 确 成 功 绕 过 了 b a s e 6 4 的 特 征 ， 但 是 仍 然 识 别 出 了 e v a l 的 后 门 还 是 4 级 有 点 u p s e t 了 。 既 然 是 这 样 的 话 ， 那 就 再 换 一 种 方 式 。 用 函 数 的 方 法 输 出 e v a l 居 然 成 功 了 ， 级 别 直 接 就 降 低 到 了 2 级 ！ ！ ！ 0 x 5   总 结 总 结 1 .   问 题 到 底 是 还 出 在 e v a l 这 个 函 数 ， 后 面 陆 陆 续 续 尝 试 了 字 符 串 拼 接 、 大 小 写 混 淆 、 逆 序 等 方 式 居 然 都 没 有 绕 过 。 最 近 又 要 忙 着 搬 砖 就 没 有 继 续 深 入 下 去 了 ， 欢 迎 各 位 大 佬 们 尝 试 顺 便 给 点 思 路 指 点 一 二 。 2 .   通 过 一 些 编 码 和 变 化 去 绕 过 检 测 规 则 对 于 技 术 的 总 结 提 高 还 是 很 有 帮 助 的 ， 日 常 还 是 需 要 多 练 习 尝 试 。 3 .   上 次 偶 然 间 看 到 有 一 些 通 过 特 征 提 取 使 用 朴 素 贝 叶 斯 做 机 器 学 习 检 测 w e b s h e l l 的 ， 攻 防 对 抗 越 来 越 有 意 思 以 后 的 绕 过 技 巧 也 许 会 更 加 丰 富 。 4 .   用 别 人 的 的 过 狗 大 马 小 马 一 句 话 的 时 候 ， 也 要 多 留 心 别 人 留 一 个 后 门 瞬 间 就 尴 尬 了 。 * 本 文 作 者 ： 本 文 作 者 ： s i 1 e n c e ， 本 文 属 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理