冰蝎各版本工具分析与魔改思路

admin 2023年1月3日12:02:23安全文章评论5 views2187字阅读7分17秒阅读模式

本文转自先知社区:

https://xz.aliyun.com/t/11989

作者:[email protected]深信服西部天威战队

0x00 V2版本

1. 项目

github项目:https://github.com/rebeyond/Behinder/releases/
V2 源码:https://github.com/hktalent/afterLoader

2. 流量分析

执行流程图:

冰蝎各版本工具分析与魔改思路

  1. 首次连接一句话服务端时,客户端首先向服务器端发起GET请求,只有一个参数,格式为?pass=123形式,服务器端随机产生一个128位的密钥,把密钥回显给客户端,同时把密钥写进服务器侧的Session中

    冰蝎各版本工具分析与魔改思路

  2. 客户端获取密钥后,后面的请求都为POST请求,对本地的二进制payload先进行AES加密然后base64编码,再通过POST请求发送至服务器端。正常的网站接口或者页面中,一般是响应的html代码或者json,冰蝎2响应的数据则为经过AES加密的二进制数据,所以Content-Type均为 : application/octet-stream

    冰蝎各版本工具分析与魔改思路

3. 特点

  1. 服务器端动态解析二进制class文件

  2. 客户端已编译类的参数化:使用ASM框架来动态修改class文件中的属性值,动态生成经过参数化的payload class

4. 流量特征

  1. GET请求的 HTTP 响应包中Content-Length字段的值是固定的16,同时URI只有一个参数,key-value型参数

  2. 默认的 Accept 字段较为特殊 text/html, image/gif, image/jpeg, ; q=.2, /*; q=.2

  3. UserAgent字段内置了十余种比较老的User Agent,每次连接shell会随机选择一个进行使用

  4. JSP类型的webshell,POST请求体数据均为base64编码,Content-Type为application/octet-stream,响应体数据均为二进制文件

  5. 执行JSP webshell,一般较短的命令Content-Length都是9068

0x01 V3版本

1. 项目

github项目:https://github.com/rebeyond/Behinder/releases/
V3 源码:https://github.com/MountCloud/BehinderClientSource

2. 流量分析

冰蝎3和2相比,最重要的变化就是去除动态密钥协商机制,采用预共享密钥,全程无明文交互,密钥格式为md5("admin")[0:16],其余的都差不多
这里还要提到一点,当客户端第一次调用ShellService�#doConnect�方法连接webshell失败,会调用Utils#getKeyAndCookie�方法发送Get请求连接协商秘钥,猜测作者可能是为了兼容2版本的webshell,也算是一个特征点

冰蝎各版本工具分析与魔改思路

冰蝎各版本工具分析与魔改思路

3. 特点

  1. 去除动态密钥协商机制

4. 流量特征

  1. 流量特征其实也V2版本类似,同样内置了十余种比较老的User Agent,POST请求体数据均为base64编码

  2. 存在GET请求,同时URI只有一个key-value类型参数

0x02 V4版本

1. 项目

github项目:https://github.com/rebeyond/Behinder/releases/
V4 源码:https://github.com/MountCloud/BehinderClientSource

2. 流量分析

冰蝎各版本工具分析与魔改思路

  1. 本地选择加密算法,生成服务端Webshell,加密算法对Payload进行加密,然后数据通过POST请求发送给远程服务端



    冰蝎各版本工具分析与魔改思路


    冰蝎各版本工具分析与魔改思路

  2. 服务端收到Payload密文后,利用解密算法进行解密

  3. 服务端执行解密后的Payload,并获取执行结果

  4. 服务端对Payload执行结果进行加密,然后返回给本地客户端

  5. 客户端收到响应密文后,利用解密算法解密,得到响应内容明文

3. 特点

  1. 允许自定义加密解密协议

4. 流量特征

  1. 采用默认aes加密协议情况下流量特征与V2、V3类似

0x03 安全设备检测原理图

某盟UTS:

冰蝎各版本工具分析与魔改思路

0x04 魔改思路

针对不同安全产商设备的检测原理,整理了以下几种魔改思路:

  1. 加密解密算法,除了默认的AES,可以使用DES、3DES、TDEA、Blowfish、Twofish、RC2、RC4、RC5、IDEA、SKIPJACK等对称加密算法

  2. 去除base64编码特征,请求体和响应体数据随机产生不定长度的额外字节数组

  3. 去除请求头User-Agent、Accept、Referer、Content-type等特征

  4. 请求包以json格式参数,响应体数据返回json格式或者html格式,数据可以拆散隐藏在html标签中

  5. 修改请求协议,使用HEAD协议,长度较小的paylaod放到header执行,Shell返回404,响应数据通过ceye类似接口进行中转/服务器可访问的目录图片中转

  6. 客户端不定时发送不定长度的垃圾数据

  7. 基于sessionID生成密钥、payload参数名、分隔符等

  8. 使用Java底层函数绕OpenRASP

  9. webshell免杀

参考

https://xz.aliyun.com/t/2744#toc-5
https://mp.weixin.qq.com/s/EwY8if6ed_hZ3nQBiC3o7A

加个好友进渗透技术交流群

请备注:进群
冰蝎各版本工具分析与魔改思路
推荐阅读
冰蝎各版本工具分析与魔改思路

冰蝎各版本工具分析与魔改思路

原文始发于微信公众号(乌雲安全):冰蝎各版本工具分析与魔改思路

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年1月3日12:02:23
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  冰蝎各版本工具分析与魔改思路 http://cn-sec.com/archives/1494728.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: