搜索

[14913] 2019-12-08_冰蝎动态二进制加密WebShell基于流量侧检测方案

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2019-12-08_冰蝎动态二进制加密WebShell基于流量侧检测方案 冰 蝎 动 态 二 进 制 加 密 W e b S h e l l 基 于 流 量 侧 检 测 方 案 c h u j i a n 0   F r e e B u f   2 0 1 9 - 1 2 - 0 8 概 述 概 述 冰 蝎 是 一 款 新 型 动 态 二 进 制 加 密 网 站 工 具 。 目 前 已 经 有 冰 蝎 是 一 款 新 型 动 态 二 进 制 加 密 网 站 工 具 。 目 前 已 经 有 6 个 版 本 。 对 于 个 版 本 。 对 于 w e b s h e l l 的 网 络 流 量 侧 检 测 ， 主 要 有 三 个 思 路 。 一 ： 的 网 络 流 量 侧 检 测 ， 主 要 有 三 个 思 路 。 一 ： w e b s h e l l 上 传 过 程 中 文 件 还 原 进 行 样 本 分 析 ， 检 测 静 态 文 件 是 上 传 过 程 中 文 件 还 原 进 行 样 本 分 析 ， 检 测 静 态 文 件 是 否 报 毒 。 二 ： 否 报 毒 。 二 ： w e b s h e l l 上 线 或 建 立 连 接 过 程 的 数 据 通 信 流 量 。 三 ： 上 线 或 建 立 连 接 过 程 的 数 据 通 信 流 量 。 三 ： w e b s h e l l 已 连 接 后 执 行 远 程 控 制 命 令 过 程 的 数 据 通 信 流 量 。 本 文 通 过 分 析 多 个 历 史 冰 蝎 版 本 及 五 种 脚 本 已 连 接 后 执 行 远 程 控 制 命 令 过 程 的 数 据 通 信 流 量 。 本 文 通 过 分 析 多 个 历 史 冰 蝎 版 本 及 五 种 脚 本 ( a s p | a s p x | j s p | j s p x | p h p ) ， 结 合 第 二 点 检 测 冰 蝎 上 线 的 静 态 特 征 ， 并 总 结 部 分 ， 结 合 第 二 点 检 测 冰 蝎 上 线 的 静 态 特 征 ， 并 总 结 部 分 s n o r t 规 则 。 规 则 。 冰 蝎 通 讯 原 理 冰 蝎 通 讯 原 理 冰 蝎 采 用 A E S 加 密 ， 很 多 文 章 已 有 介 绍 ， 并 有 对 应 解 密 脚 本 ， 这 里 不 再 赘 述 。 冰 蝎 上 线 数 据 包 （ 点 击 底 部 阅 读 原 文 查 看 ） 冰 蝎 上 线 数 据 包 （ 点 击 底 部 阅 读 原 文 查 看 ） V 1 . 0 版 本 冰 蝎 连 接 版 本 冰 蝎 连 接 抓 取 到 的 通 信 流 量 如 下 ： C o n t e n t - T y p e :   a p p l i c a t i o n / o c t e t - s t r e a m 表 示 以 二 进 制 流 传 输 数 据 。 G E T 请 求 体 返 回 1 6 位 大 小 写 字 母 或 数 字 。 V 1 . 1 版 本 冰 蝎 连 接 版 本 冰 蝎 连 接 冰 蝎 工 具 从 V 1 . 1 开 始 （ 包 含 V 1 . 1 ） 新 增 随 机 U s e r A g e n t 支 持 ， 每 次 会 话 会 从 1 7 种 常 见 U s e r A g e n t 中 随 机 选 取 。 这 个 版 本 的 p a s s   与 其 他 版 本 不 同 ， p a s s ( 密 码 )   后 跟 1 0 位 数 字 。 V 2 . 0 . 1 版 本 冰 蝎 连 接 版 本 冰 蝎 连 接 p h p   s h e l l 上 线 数 据 包 a s p   s h e l l   上 线 数 据 包
特 殊 的 数 据 包 特 殊 的 数 据 包 特 殊 包 类 型 一 特 殊 包 类 型 一 仅 在 p h p   s h e l l   上 线 时 发 现 。 测 试 版 本   V 2 . 0 和 V 2 . 0 . 1 p h p   s h e l l 上 线 时 会 产 生 两 个 P O S T 请 求 和 响 应 。 第 一 个 P O S T   响 应 无 响 应 体 ， 第 二 个 P O S T 响 应 有 响 应 体 。 这 里 需 要 额 外 写 s n o r t 判 断 。 用 f l o w b i t s   设 置 多 包 联 合 检 测 。 第 一 个 P O S T 响 应 第 二 个 P O S T 响 应 特 殊 包 类 型 二 特 殊 包 类 型 二 有 两 条 很 久 以 前 抓 的 冰 蝎 包 ， 写 的 s n o r t 一 直 匹 配 不 上 ， 忘 了 是 哪 个 版 本 。 仔 细 一 看 ， 居 然 没 有 C o n t e n t - L e n g t h 字 段 。 p h p   s h e l l   上 线 ， G E T 响 应 居 然 无 强 特 征   “ C o n t e n t - L e n g t h :   1 6 ， 查 资 料 说 如 果 是 c h u n k e d   加 密 的 ， 可 能 就 不 显 示 这 个 c o n t e n t - l e n g t h 字 段 了 。 这 个 特 殊 类 型 我 选 择 性 忽 视 。
下 面 也 是 p h p   G E T 响 应   无 强 特 征   “ C o n t e n t - L e n g t h :   1 6 ” ， 看 上 去 多 了 几 个 字 符 ， 是 显 示 的 问 题 ， 其 实 并 没 有 多 。 静 态 特 征 静 态 特 征 弱 特 征 弱 特 征 1 ： 密 钥 传 递 时 ： 密 钥 传 递 时 U R L 参 数 参 数 这 里   w { 1 , 8 }   表 示 密 码 的 长 度 ， 可 根 据 实 际 需 求 及 探 针 性 能 调 整 。 d { 1 , 1 0 }   表 示 密 码 后 面 跟 的 数 字 长 度 ， 为 了 兼 容 V 1 . 0 和 V 1 . 1 ， 用 1 - 1 0 。 如 果 只 检 测 V 2 . 1 版 本 ， 可 以 调 整 为   d { 2 , 3 } 。 弱 特 征 弱 特 征 2 ： 加 密 时 的 ： 加 密 时 的 U R L * * 参 数 参 数 在 加 密 通 讯 过 程 中 ， 没 有 U R L 参 数 。 是 的 ， 没 有 参 数 本 身 也 是 一 种 特 征 。 本 文 暂 未 使 用 此 特 征 。 强 特 征 强 特 征 3 ： ： A c c e p t 字 段 （ 可 绕 过 ） 字 段 （ 可 绕 过 ） A c c e p t 是 H T T P 协 议 常 用 的 字 段 ， 但 冰 蝎 默 认 A c c e p t 字 段 的 值 却 很 特 殊 ， 这 个 特 征 存 在 于 冰 蝎 的 任 何 一 个 通 讯 阶 段 。 " . ( p h p | j s p | a s p | j s p x | a s p x ) ? w { 1 , 8 } = d { 1 , 1 0 } H T T P / 1 . 1 " " . ( p h p | j s p | a s p | j s p x | a s p x )   H T T P / 1 . 1 " A c c e p t :   t e x t / h t m l , i m a g e / g i f ,   i m a g e / j p e g ,   * ;   q = . 2 ,   * / * ; q = . 2
冰 蝎 支 持 自 定 义 H T T P   H e a d e r ， 因 此 该 特 征 可 以 被 绕 过 。 可 以 针 对 此 特 征 做 专 门 的 检 测 ， 因 为 大 多 数 人 都 没 有 修 改 A c c e p t   习 惯 。 本 文 暂 未 使 用 此 特 征 。 强 特 征 强 特 征 4 ： ： U s e r A g e n t 字 段 （ 可 绕 过 ） 字 段 （ 可 绕 过 ） 冰 蝎 工 具 从 V 1 . 1 开 始 （ 包 含 V 1 . 1 ） 新 增 随 机 U s e r A g e n t 支 持 ， 每 次 会 话 会 从 1 7 种 常 见 ( 较 老 ) U s e r A g e n t 中 随 机 选 取 。 如 果 发 现 历 史 流 量 中 同 一 个 源 I P 访 问 某 个 U R L 时 ， 命 中 了 以 下 列 表 ( 下 载 地 址 ) 中 多 个 U s e r A g e n t ， 那 基 本 确 认 就 是 冰 蝎 了 。 大 多 数 人 都 没 有 修 改 A c c e p t   习 惯 。 但 冰 蝎 支 持 自 定 义 U A ， 该 特 征 可 以 被 绕 过 。 本 文 暂 未 使 用 此 特 征 。 强 特 征 强 特 征 5 ： 传 递 的 密 钥 ： 传 递 的 密 钥 加 密 所 用 密 钥 是 长 度 为 1 6 的 随 机 字 符 串 ， 大 小 写 字 母 + 数 字 组 成 。 密 钥 传 递 阶 段 ， 密 钥 存 在 于 g e t 请 求 的 响 应 体 中 。 需 要 划 重 点 的 是 ， 不 管 哪 种 冰 蝎 脚 本 的 s h e l l ， 上 线 过 程 客 户 端 都 是 要 与 服 务 器 商 量 2 次 密 码 的 ， 也 就 是 会 发 2 个 g e t 请 求 ， 并 返 回 2 次   1 6 位 的 k e y 。 因 此 密 钥 特 征 如 下 ： 还 有 一 个 特 征 ， g e t 请 求 响 应 体 长 度 一 定 是 1 6 位 的 。 弱 特 征 弱 特 征 6 ： 加 密 数 据 上 行 ： 加 密 数 据 上 行 j s p | p h p | j s p x   加 密 数 据 上 行 特 征 如 下 ： 数 字 5 0 表 示 至 少 出 现 5 0 字 符 才 匹 配 ， 可 根 据 I D S 设 备 实 际 情 况 及 需 求 调 整 。 j s p 加 密 流 量 上 行 p h p 加 密 流 量 上 行 j s p x 加 密 流 量 上 行 A c c e p t :   t e x t / h t m l , i m a g e / g i f ,   i m a g e / j p e g ,   * ;   q = . 2 ,   * / * ; q = . 2 " r n r n [ A - Z a - z 0 - 9 ] { 1 6 } $ " " C o n t e n t - L e n g t h :   1 6 " “ r n r n [ a - z A - Z d + / ] { 1 0 , } / [ a - z A - Z d / ] { 5 0 } "
a s p , a s p x   不 可 用 上 面 的 特 征 。 a s p x   加 密 上 行 流 量 独 有 。 为 减 少 误 报 ， 建 议 检 查 加 密 上 行 和 下 行 ， 此 特 征 同 样 适 用 a s p x 加 密 流 量 下 行 。 数 据 包 中 的   “ . ”   其 实 是 不 可 见 字 符 。 a s p 加 密 流 量 上 行 a s p x 加 密 流 量 上 行 弱 特 征 弱 特 征 7 ： 加 密 数 据 下 行 ： 加 密 数 据 下 行 j s p 加 密 流 量 下 行 ” [ ^ w s > < = - ' " : ; , ! ( ) { } ] ”
这 里 使 用 正 则 的 “ 非 ” 匹 配 二 进 制 非 常 见 字 符 。 [ ^ w s > < = - ‘ “ : ; , ! ( ) { } ]   表 示 不 可 见 字 符 [ w ] { 2 }   表 示 特 殊 符 号 前 至 少 有 2 个 字 符 ， 经 过 大 量 对 比 分 析 ， 发 现 可 以 匹 配 的 字 符 串 例 如 ： “ 不 可 见 字 符 ” + ” V O ? E S ” “ 不 可 见 字 符 ” + ” F l # f B ” “ 不 可 见 字 符 ” + ” 9 w + r v ” “ 不 可 见 字 符 ” + ” 6 G / S W ” “ 不 可 见 字 符 ” + ” m N ] s s ” “ 不 可 见 字 符 ” + ” s s [ s s ” “ 不 可 见 字 符 ” + ” g V | 0 5 ” “ 不 可 见 字 符 ” + ” I z 8 o ” … … 且 返 回 状 态 码   2 0 0   O K 另 外 对 于   p h p | j s p | a s p | a s p x ， 响 应 的 T y p e 特 征 还 有 “ C o n t e n t - T y p e :   t e x t / h t m l ” j s p x 稍 有 特 殊 。 j s p x 加 密 流 量 下 行 弱 特 征 弱 特 征 8 ： 长 连 接 （ 可 绕 过 ） ： 长 连 接 （ 可 绕 过 ） 冰 蝎 通 讯 默 认 使 用 长 连 接 ， 避 免 了 频 繁 的 握 手 造 成 的 资 源 开 销 。 因 此 默 认 情 况 下 ， 请 求 头 和 响 应 头 里 都 会 带 有 : 这 个 特 征 存 在 于 冰 蝎 的 任 何 一 个 通 讯 阶 段 。 本 文 暂 未 使 用 此 特 征 。 冰 蝎 冰 蝎 s n o r t 规 则 检 测 思 路 规 则 检 测 思 路 "   [ ^ w s > < = - ' " : ; , ! ( ) { } ] [ w ] { 2 } [ ^ w s > < = - ' " . : ; , ! ( ) { } ] [ a - z A - Z d ] { 2 } " " C o n t e n t - T y p e : t e x t / x m l " C o n n e c t i o n :   K e e p - A l i v e
一 . 从 建 立 连 接 的 第 一 个 G E T 请 求 的 响 应 体 开 始 检 测 ， 1 . 响 应 体 必 c h u j i a n 0 定 为 1 6 位 大 小 写 字 母 或 数 字 ， 2 . 返 回 状 态 码 2 0 0   O K 可 以 作 为 I D S 的 入 口 正 则 ， 防 止 接 入 过 多 流 量 影 响 I D S 性 能 。 二 . 之 后 检 测 第 二 个 G E T 请 求 ， 1 . 满 足 上 面 提 取 的 G E T 请 求 弱 特 征 三 . 检 测 第 二 个 G E T 响 应 体 特 征 ， 特 征 与 步 骤 一 一 致 ， 但 应 满 足 递 进 关 系 。 四 . 这 里 分 为 2 种 情 况 ， 第 一 种 情 况 ， 1 . 检 测 P O S T 请 求 通 用 特 征 2 . 检 测 P O S T 响 应 特 征 ， 匹 配 到 则 判 定 为 冰 蝎   a s p | j s p | a s p x | p h p     上 线 。 第 二 种 情 况 ( 不 满 足 第 一 种 情 况 ) , 1 . 检 测 P O S T 请 求   j s p x   特 征 2 . 检 测 P O S T 响 应   j s p x   特 征 冰 蝎 冰 蝎 s n o r t 规 则 总 结 规 则 总 结 综 上 参 考 链 接 参 考 链 接 流 量 加 密 又 怎 样 ？ 多 种 姿 势 检 测 “ 冰 蝎 ” w e b s h e l l 连 接 工 具 冰 蝎 检 测 特 征 提 取 h t t p 响 应 头 里 没 有 或 者 有 c o n t e n t - l e n g t h 的 几 种 可 能 性 * 本 文 作 者 ： 本 文 作 者 ： c h u j i a n 0 ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 a l e r t   h t t p   a n y   a n y   - >   a n y   a n y ( m s g : " M A L W A R E - B A C K D O O R   B e h i n d e r   w e b s h e l l   o n l i n e   d e t e c t e d " ;   f l o w : e s t a b l i s h e d , t o _ c l i e n t ;   p c r e :   " / r n r n [ A - Z a - z 0 - 9 ] { 1 6 } $ / " ;   c o n t e n t : " 2 0 0   O K " ;   c o n t e n t :   " C o n t e n t - L e n g t h :   1 6 " ;   f a s t _
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理