搜索

[28154] 2020-02-12_Webshell免杀研究

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-19
2020-02-12_Webshell免杀研究 W e b s h e l l 免 杀 研 究 先 知 社 区   O t s 安 全   2 0 2 0 - 0 2 - 1 2 前 言 前 言 不 想 当 将 军 的 士 兵 不 是 好 士 兵 ， 不 想 g e t s h e l l 的 H a c k e r 不 是 好 H a c k e r ~ 有 时 候 我 们 在 做 攻 防 对 抗 时 经 常 会 碰 到 可 以 上 传 w e b s h e l l 的 地 方 ， 但 是 经 常 会 被 安 全 狗 、 D 盾 、 护 卫 神 、 云 锁 等 安 全 软 件 查 杀 ， 在 本 篇 文 章 中 将 会 介 绍 一 些 常 用 的 木 马 免 杀 技 巧 ， 主 要 针 对 安 全 狗 、 护 卫 神 、 D 盾 进 行 免 杀 ~ 查 杀 软 件 查 杀 软 件 D 盾 盾 D 盾 是 一 个 专 门 为 I I S 设 计 的 主 动 防 御 的 安 全 性 保 护 软 件 ， 它 采 用 以 内 外 防 护 的 方 式 防 止 服 务 器 和 网 站 被 人 入 侵 ， 它 秉 持 在 正 常 运 行 各 类 网 站 的 情 况 下 ， 越 少 的 功 能 ， 服 务 器 就 越 安 全 的 理 念 而 设 。 它 具 有 一 句 话 木 马 查 杀 、 主 动 后 门 拦 截 、 S e s s i o n 保 护 、 C C 攻 击 防 御 、 网 页 篡 改 查 询 、 W E B 嗅 探 防 御 、 S Q L 注 入 防 御 、 X S S 攻 击 防 御 、 提 权 防 御 、 恶 意 文 件 上 传 防 御 、 未 知 0 D a y 防 御 等 特 性 。 安 全 狗 安 全 狗 安 全 狗 是 一 款 安 全 防 护 软 件 ， 它 提 供 木 马 查 杀 、 漏 洞 防 御 、 非 法 请 求 拦 截 等 功 能 ， 致 力 于 保 护 网 站 和 服 务 器 的 安 全 。 它 具 有 应 用 防 护 W E B 应 用 风 险 、 拦 截 各 类 S Q L 注 入 、 X S S 攻 击 防 御 、 0 D a y 攻 击 防 御 、 特 定 资 源 保 护 、 网 络 木 马 文 件 、 恶 意 畸 形 文 件 、 0 D a y 漏 洞 、 黑 链 等 特 性 。
护 卫 神 护 卫 神 护 卫 神 是 一 款 以 分 离 权 限 为 基 础 ， 通 过 一 系 列 独 特 技 术 手 段 ， 保 障 网 站 不 被 入 侵 的 安 全 性 防 护 软 件 。 它 适 用 于 各 类 A S P 和 P H P 编 写 的 程 序 ， 在 目 前 网 站 日 益 猖 狂 的 挂 马 、 入 侵 情 况 下 ， 护 卫 神 可 以 彻 底 解 决 用 户 所 面 临 的 众 多 安 全 难 题 ， 为 网 络 安 全 保 驾 护 航 。 它 具 有 实 时 木 马 程 序 查 杀 、 网 站 挂 马 拦 截 、 文 件 篡 改 保 护 、 P H P 拒 绝 服 务 攻 击 防 御 、 S Q L 防 御 、 X S S 跨 站 攻 击 防 御 、 入 侵 拦 截 防 护 、 远 程 桌 面 安 全 保 护 等 特 性 。
免 杀 基 础 免 杀 基 础 免 杀 需 求 免 杀 需 求 因 为 设 计 的 木 马 的 最 终 目 的 在 发 现 目 标 网 站 有 上 传 漏 洞 时 可 以 将 木 马 上 传 到 目 标 服 务 器 上 并 且 可 以 远 程 访 问 实 现 远 程 控 制 ， 然 而 一 些 网 站 都 会 有 安 全 狗 、 D 盾 、 安 骑 士 、 护 卫 神 、 云 锁 等 防 护 软 件 可 以 对 一 些 W e b s h e l l 进 行 查 杀 ， 那 么 要 想 使 用 W e b s h e l l 进 行 远 控 就 需 要 实 现 免 杀 ， 以 此 来 躲 避 木 马 查 杀 工 具 的 检 查 。 查 杀 技 术 查 杀 技 术 目 前 主 流 的 木 马 查 杀 方 法 有 ： 静 态 检 查 、 动 态 检 测 、 日 志 检 查 三 种 方 式 。 a 、 静 态 检 查 通 过 匹 配 特 征 码 、 危 险 函 数 和 木 马 特 征 值 来 查 杀 木 马 程 序 ， 它 的 特 点 是 快 速 方 便 ， 对 已 知 的 木 马 程 序 查 找 准 确 率 较 高 ， 它 的 缺 点 是 误 报 率 较 高 ， 无 法 查 找 0 D a y 型 的 木 马 程 序 ， 而 且 容 易 被 绕 过 。 b 、 动 态 检 测 通 过 木 马 程 序 的 动 态 特 征 来 检 测 ， 当 木 马 程 序 被 上 传 到 服 务 器 上 后 ， 攻 击 者 总 会 去 执 行 它 ， 当 木 马 程 序 被 执 行 时 所 表 现 出 来 的 特 征 就 是 所 谓 的 动 态 特 征 。 c 、 日 志 检 测 则 主 要 通 过 日 志 分 析 检 测 技 术 来 实 现 ， 它 主 要 通 过 分 析 大 量 的 日 志 文 件 并 建 立 请 求 模 型 来 检 测 出 异 常 文 件 。 它 的 优 点 为 当 网 站 上 的 访 问 量 级 达 到 一 致 值 时 ， 这 种 检 测 方 法 具 有 比 较 大 参 考 性 价 值 。 它 的 缺 点 则 是 存 在 一 定 误 报 率 ， 对 于 大 量 的 日 志 文 件 ， 检 测 工 具 的 处 理 能 力 和 效 率 都 会 变 的 比 较 低 。 免 杀 技 巧 免 杀 技 巧
木 马 程 序 可 以 使 用 多 种 编 程 语 言 来 设 计 ， 不 同 的 编 程 语 言 有 不 同 特 性 以 及 提 供 的 系 统 函 数 ， 所 以 在 实 现 免 杀 时 可 以 首 先 考 虑 灵 活 运 用 语 言 的 特 性 来 实 现 免 杀 ， 其 次 可 以 根 据 查 杀 软 件 的 查 杀 规 则 来 重 构 木 马 程 序 ， 躲 避 木 马 查 杀 工 具 的 查 杀 ， 同 时 可 以 考 虑 密 码 学 中 的 加 密 解 密 对 源 木 马 程 序 进 行 加 密 解 密 处 理 ， 以 此 来 躲 避 木 马 查 杀 工 具 的 检 查 。 木 马 免 杀 技 术 的 核 心 在 于 “ 灵 活 多 变 ” 。 免 杀 实 战 免 杀 实 战 — 小 马 免 杀 小 马 免 杀 引 用 免 杀 引 用 免 杀 因 为 D 盾 、 安 全 狗 、 护 卫 神 会 对 关 键 字 e v a l 中 的 执 行 变 量 进 行 溯 源 ， 当 追 溯 到 要 执 行 的 变 量 为 一 个 通 过 P O S T 接 收 的 可 疑 数 据 时 就 会 显 示 可 疑 木 马 ， 为 了 躲 避 这 种 溯 源 方 式 ， 可 以 通 过 多 次 使 用 & 来 引 用 前 一 个 变 量 ， 通 过 一 连 串 的 赋 值 操 作 最 后 将 要 执 行 的 内 容 与 反 引 号 拼 接 后 传 入 e v a l 实 现 免 杀 ， 具 体 实 现 如 下 所 示 ： 之 后 使 用 D 盾 查 杀 一 下 看 看 ： 发 现 还 是 被 查 杀 到 了 ， 这 时 候 b 有 给 a 说 了 ： " 喂 ， 上 面 的 a ， 我 们 换 换 位 置 呗 ~ " ， 于 是 a 无 奈 的 说 ： " 为 啥 受 伤 的 总 是 我 呢 ？ "
之 后 a 对 b 说 ： " 你 看 ， 不 行 吧 ？ 换 了 也 没 戏 " ， 之 后 b 皱 了 皱 眉 说 ： " 不 急 ， 我 们 来 再 拉 一 下 伙 伴 — — 反 引 号 ， 让 他 帮 帮 忙 " ： 果 然 ， b 小 哥 说 的 还 是 有 点 门 道 的 哦 ， 从 上 面 的 结 果 中 可 以 看 到 成 功 免 杀 了 ， 之 后 再 来 看 看 安 全 狗 — — 成 功 免 杀 护 卫 神 — — 成 功 免 杀
至 此 ， D 盾 、 安 全 狗 、 护 卫 神 已 成 功 免 杀 ， 之 后 我 们 来 看 看 可 用 性 ： 可 变 变 量 可 变 变 量 可 变 变 量 是 P H P 中 一 种 较 为 独 特 的 变 量 ， 它 可 以 动 态 的 改 变 一 个 变 量 的 名 称 ， 这 种 特 性 可 以 用 于 木 马 免 杀 中 。 首 先 可 以 定 义 一 个 变 量 $ d o 并 为 其 赋 值 为 t o d o , 之 后 将 木 马 内 容 赋 值 给 可 变 变 量 $ $ d o , 最 后 在 调 用 e v a l 函 数 执 行 时 将 执 行 对 象 定 义 为 $ t o d o 即 可 ， 具 体 实 现 如 下 所 示 ： 之 后 使 用 D 盾 查 杀 一 下 看 看 ：
发 现 不 行 哦 ， 那 么 怎 么 办 呢 ？ 幸 好 今 天 " 反 引 号 " 大 哥 来 串 门 ， 不 妨 让 他 来 帮 个 忙 ： 发 现 成 功 免 杀 ， 之 后 我 们 再 使 用 安 全 狗 查 杀 一 下 看 看 — — — — 成 功 免 杀 护 卫 神 — — — — 成 功 免 杀
至 此 ， 成 功 免 杀 安 全 狗 、 护 卫 神 、 D 盾 ， 之 后 我 们 试 试 可 用 性 ： 二 维 数 组 在 免 杀 时 我 们 可 以 考 虑 见 要 执 行 的 一 句 话 木 马 程 序 放 到 数 组 中 执 行 达 到 绕 过 的 目 的 ， 例 如 ： 之 后 我 们 使 用 D 盾 进 行 查 杀 — — — — 成 功 免 杀
之 后 我 们 使 用 安 全 狗 进 行 查 杀 — — — — 成 功 免 杀 之 后 我 们 使 用 护 卫 神 进 行 查 杀 ： o h ,   M y   G o d ！ 护 卫 神 这 么 强 悍 的 吗 ？ ？ ？ 好 不 容 易 过 了 D 盾 、 安 全 狗 的 查 杀 检 测 ， 走 到 最 后 一 步 却 被 护 卫 神 给 查 杀 了 . . . . . ， 那 么 怎 么 绕 呢 ？ 既 然 一 维 数 组 不 行 ， 那 么 我 就 来 个 二 维 数 组 ， 哼 ：
之 后 再 次 使 用 护 卫 神 查 杀 还 是 被 查 杀 到 了 ， 那 么 怎 么 办 呢 ？ 变 量 $ a 给 变 量 $ b 说 ： " 我 们 不 妨 换 换 位 置 ? " ， 变 量 $ b 只 好 带 着 " 试 一 试 " 的 心 态 回 复 " 换 就 换 呗 ， 反 正 就 那 样 . . . . " : " 竟 然 成 功 免 杀 了 ？ " ， 变 量 $ b 带 着 痴 呆 的 表 情 说 到 。 之 后 我 们 再 次 使 用 D 盾 进 行 查 杀 — — — — 成 功 免 杀 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理