如何修改冰蝎加上超时时间

admin 2022年5月24日08:52:02评论111 views字数 4169阅读13分53秒阅读模式

No.1

声明

由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失,均由使用者本人负责,雷神众测以及文章作者不为此承担任何责任。

雷神众测拥有对此文章的修改和解释权。如欲转载或传播此文章,必须保证此文章的完整性,包括版权声明等全部内容。未经雷神众测允许,不得任意修改或者增减此文章内容,不得以任何方式将其用于商业目的。


No.2

背景

冰蝎现在使用还算比较广泛,不过它有个很蛋疼的缺点是,所有的耗时操作全部在 UI 主线程。

这里我批评一下,作为一个GUI程序,所有的涉及到 IO 或者其他耗时操作的行为,统统都不能放在 UI 主线程,因为你根本无法预知耗时多久,可能在某些情况下导致 UI 直接卡死。

因为没有源代码直接编译,所以我并没有把它这些操作另开一个线程,这样修改工作量太庞大。

作者并没有对 http 请求设置超时,我们可以给 http 请求加上超时,可能体验上可能会好很多。


No.3

提出问题

首先打开冰蝎,自己本机起一个测试环境。

执行一个需要一直跑的命令。

如何修改冰蝎加上超时时间

会卡死很久。

我们找找设置超时时间的地方在哪。

那怎么定位到呢?


No.4

解决问题

定位代码

这里我说一下我的方法,当然也可以靠一般的 http header 字段来定位,看个人喜好。

我一般会看下项目结构。

我找到了这么一个东西。

如何修改冰蝎加上超时时间

跟进去看看。

如何修改冰蝎加上超时时间

我们可以看到在请求触发前并没有超时时间的设置。

并且这一块有很多请求的方法。

如何修改冰蝎加上超时时间

定位到了地方,那我们怎么修改呢?


使用 Recaf 修改代码

我们上面使用的那种反编译工具肯定是不能直接修改代码的,修改 jar 包需要直接改字节码,所幸有一些工具能够简化这些操作。

我们使用 recaf 打开冰蝎。

如何修改冰蝎加上超时时间

定位到我们刚才找到的方法。

然后双击打开对话框。

如何修改冰蝎加上超时时间

我们直接选择 指令 编辑。

这里所展现出来的是 jvm 的 opcode,感兴趣的可以自己去查询一下,我这里不再对这些知识点进行展开。

如何修改冰蝎加上超时时间

上图中所展现的一部分就是我加的代码。

在指令上右键插入即可可视化插入 opcode。

ALOAD 是一个指定 index 的局部变量。

LDC 是放一个常量到栈顶。

下面的应该很容易能看出来是调用方法。

如何修改冰蝎加上超时时间

其中的 java/net/HttpURLConnection 是 index 为 6 的局部变量(conn)的类型,setReadTimeout 是你所要调用的方法,下面的 (I)V 代表参数是 int 类型,返回值是 void,这个比较多,感兴趣的可以去查查相关资料。

然后我们增加超时后,看看反汇编的东西。

如何修改冰蝎加上超时时间

可以看到已经成功添加,然后使用左上角的导出即可导出一个带有超时时间的冰蝎。


本文作者是属于木牛实验室。专注红队实战网络武器自动化,通过研究ATT&CK矩阵攻击技术,对安全研究进行落地成自动化的红队武器平台以及漏洞库,为攻击组提供充实的网络自动化武器,团队拥有非常完善的红队攻击平台,实验室成员均来自行业内具备多年安全开发经验的攻防专家,我们的目标是打造出业内最强的红队武器自动化平台。


No.5

招聘启事

雷神众测SRC运营(实习生)
————————

工作地点:杭州(总部)、广州、成都、上海、北京

【职责描述】
1.  负责SRC的微博、微信公众号等线上新媒体的运营工作,保持用户活跃度,提高站点访问量;
2.  负责白帽子提交漏洞的漏洞审核、Rank评级、漏洞修复处理等相关沟通工作,促进审核人员与白帽子之间友好协作沟通;
3.  参与策划、组织和落实针对白帽子的线下活动,如沙龙、发布会、技术交流论坛等;
4.  积极参与雷神众测的品牌推广工作,协助技术人员输出优质的技术文章;
5.  积极参与公司媒体、行业内相关媒体及其他市场资源的工作沟通工作。

【任职要求】 
 1.  责任心强,性格活泼,具备良好的人际交往能力;
 2.  对网络安全感兴趣,对行业有基本了解;
 3.  良好的文案写作能力和活动组织协调能力。



雷神众测白帽运营(实习生)

————————

工作地点:杭州(总部)、广州、成都、上海、北京

【岗位职责】

1.准确了解白帽子爱好,发掘白帽子需求

2.负责各类周边、礼物的挑选与采购

3.对黑客文化有深刻认知

4.维护白帽关系


【任职要求】

1.具有良好的审美眼光

2.具备定制礼品礼物经验

3.较强的沟通以及协调能力

4.为人正直,具备良好的职业道德,能吃苦耐劳,具有良好的团队合作精神


【加分项】

1、具备美术功底、懂得设计美化等

2、有互联网运营经验


简历投递至 [email protected]

设计师

————————

【职位描述】
负责设计公司日常宣传图片、软文等与设计相关工作,负责产品品牌设计。

【职位要求】
1、从事平面设计相关工作1年以上,熟悉印刷工艺;具有敏锐的观察力及审美能力,及优异的创意设计能力;有 VI 设计、广告设计、画册设计等专长;
2、有良好的美术功底,审美能力和创意,色彩感强;精通photoshop/illustrator/coreldrew/等设计制作软件;
3、有品牌传播、产品设计或新媒体视觉工作经历;

【关于岗位的其他信息】
企业名称:杭州安恒信息技术股份有限公司
办公地点:杭州市滨江区安恒大厦19楼
学历要求:本科及以上
工作年限:1年及以上,条件优秀者可放宽


简历投递至 [email protected]


安全招聘
————————

公司:安恒信息
岗位:Web安全 安全研究员
部门:安服战略支援部
薪资:13-30K
工作年限:1年+
工作地点:杭州(总部)、广州、成都、上海、北京

工作环境:一座大厦,健身场所,医师,帅哥,美女,高级食堂…

【岗位职责】
1.定期面向部门、全公司技术分享;
2.前沿攻防技术研究、跟踪国内外安全领域的安全动态、漏洞披露并落地沉淀;
3.负责完成部门渗透测试、红蓝对抗业务;
4.负责自动化平台建设
5.负责针对常见WAF产品规则进行测试并落地bypass方案

【岗位要求】
1.至少1年安全领域工作经验;
2.熟悉HTTP协议相关技术
3.拥有大型产品、CMS、厂商漏洞挖掘案例;
4.熟练掌握php、java、asp.net代码审计基础(一种或多种)
5.精通Web Fuzz模糊测试漏洞挖掘技术
6.精通OWASP TOP 10安全漏洞原理并熟悉漏洞利用方法
7.有过独立分析漏洞的经验,熟悉各种Web调试技巧
8.熟悉常见编程语言中的至少一种(Asp.net、Python、php、java)

【加分项】
1.具备良好的英语文档阅读能力;
2.曾参加过技术沙龙担任嘉宾进行技术分享;
3.具有CISSP、CISA、CSSLP、ISO27001、ITIL、PMP、COBIT、Security+、CISP、OSCP等安全相关资质者;
4.具有大型SRC漏洞提交经验、获得年度表彰、大型CTF夺得名次者;
5.开发过安全相关的开源项目;
6.具备良好的人际沟通、协调能力、分析和解决问题的能力者优先;
7.个人技术博客;
8.在优质社区投稿过文章;


岗位:安全红队武器自动化工程师
薪资:13-30K
工作年限:2年+
工作地点:杭州(总部)

【岗位职责】
1.负责红蓝对抗中的武器化落地与研究;
2.平台化建设;
3.安全研究落地。

【岗位要求】
1.熟练使用Python、java、c/c++等至少一门语言作为主要开发语言;
2.熟练使用Django、flask 等常用web开发框架、以及熟练使用mysql、mongoDB、redis等数据存储方案;
3:熟悉域安全以及内网横向渗透、常见web等漏洞原理;
4.对安全技术有浓厚的兴趣及热情,有主观研究和学习的动力;
5.具备正向价值观、良好的团队协作能力和较强的问题解决能力,善于沟通、乐于分享。

【加分项】
1.有高并发tcp服务、分布式等相关经验者优先;
2.在github上有开源安全产品优先;
3:有过安全开发经验、独自分析过相关开源安全工具、以及参与开发过相关后渗透框架等优先;
4.在freebuf、安全客、先知等安全平台分享过相关技术文章优先;
5.具备良好的英语文档阅读能力。


简历投递至 [email protected]

岗位:红队武器化Golang开发工程师
薪资:13-30K
工作年限:2年+
工作地点:杭州(总部)

【岗位职责】
1.负责红蓝对抗中的武器化落地与研究;
2.平台化建设;
3.安全研究落地。

【岗位要求】
1.掌握C/C++/Java/Go/Python/JavaScript等至少一门语言作为主要开发语言;
2.熟练使用Gin、Beego、Echo等常用web开发框架、熟悉MySQL、Redis、MongoDB等主流数据库结构的设计,有独立部署调优经验;
3.了解docker,能进行简单的项目部署;
3.熟悉常见web漏洞原理,并能写出对应的利用工具;
4.熟悉TCP/IP协议的基本运作原理;
5.对安全技术与开发技术有浓厚的兴趣及热情,有主观研究和学习的动力,具备正向价值观、良好的团队协作能力和较强的问题解决能力,善于沟通、乐于分享。

【加分项】
1.有高并发tcp服务、分布式、消息队列等相关经验者优先;
2.在github上有开源安全产品优先;
3:有过安全开发经验、独自分析过相关开源安全工具、以及参与开发过相关后渗透框架等优先;
4.在freebuf、安全客、先知等安全平台分享过相关技术文章优先;
5.具备良好的英语文档阅读能力。


简历投递至 [email protected]

安全开发工程师

————————

岗位职责:
1.安全攻防技术研究,最新web应用及中间件漏洞挖掘研究;

2.跟踪分析国内外的安全动态,对重大安全事件进行快速响应;

3.公司WAF等安全防护产品的规则编写,对已有的规则进行优化维护;

4.针对公司的产品,进行全面详细的安全测试评估。


任职要求:

1.了解常见的网络协议(TCP/IP,HTTP,FTP等);

2.熟练使用Wireshark等抓包工具,熟悉正则表达式;

3.掌握常见漏洞原理,有一定的漏洞分析能力;

4.具备php、python、java或其他相关语言编码能力;

5.对常见waf绕过有一定的基础经验;

6.具备一定的文档编写能力,具备良好的团队共同能力;

7.对安全有浓厚的兴趣,工作细致耐心。

工作地点:杭州   

简历投递至 [email protected]


如何修改冰蝎加上超时时间


专注渗透测试技术

全球最新网络攻击技术


END

如何修改冰蝎加上超时时间

原文始发于微信公众号(白帽子):如何修改冰蝎加上超时时间

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年5月24日08:52:02
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   如何修改冰蝎加上超时时间http://cn-sec.com/archives/1044294.html

发表评论

匿名网友 填写信息