引言

 

俗話說得好，80后用菜刀，90后用蟻劍，95后用冰蝎和哥斯拉。本文主要是對這四個主流的并具有跨時代意義的Webshell管理工具進行流量分析和檢測。

 

注：本文均以phpshell連接為例進行研究分析，畢竟“php是世界上最好的語言”

 

① 中國菜刀（chopper）

 

中國菜刀是一款專業的網站管理軟件，用途廣泛，使用方便，小巧實用。只要支持動態腳本的網站，都可以用中國菜刀來進行管理。主流有2011版本，2014版本和2016版本。

2011和2014版本：

 

特征：

a（密碼）參數：值為執行的函數加上對pyload的base64解

Z0參數：base64加密的payload,

Z1參數：shell存在的位置

識別：

(1)執行函數：@eval,@assert 等；

(2)base64_decode($_POST[Z0]),$_GET,$_REQUEST

(3)截取參數z0,進行base64_decode后 ,

@ini_set("display_errors","0");@set_time_limit(0);@set_magic_quotes_runtime(0)等

 

2016版本：

較于早版本做了一些混淆

識別"ass"."ert" "ev"."Al  "Ba"."SE6"."4_dEc"."OdE

 

② 蟻劍4.0.3

 

中國蟻劍是一款開源的跨平臺網站管理工具，它主要面向于合法授權的滲透測試安全人員以及進行常規操作的網站管理員。是一款非常優秀的webshell管理工具。開發版本針對有一定編程基礎的開發者，你可以根據閱讀文檔或者分析源碼了解熟悉整個應用的執行流程，然后便可隨意對代碼進行修改增強個性化自定義，真正打造出屬于自己的一把寶劍！

 

PHP WEBSHELL基本操作連接所發的包如下：

 

 

傳輸的內容為：

 

 

主要獲取了服務端當前目錄、根目錄、系統和當前用戶名等信息，輸入到緩沖區再由$output變量接收，通過隨機字符作為開始結束符定位變量輸出位置。

默認使用的情況下data僅進行url編碼，特征很明顯，data中含有@ini_set("display_errors", "0");@set_time_limit(0);  header中含有antSword字眼，由于蟻劍的源碼是和菜刀的一樣，所以在默認情況下特征十分明顯。但是蟻劍的個性化十分的明顯，可以對其進行改造。

PHP WEBSHELL基本操作連接所發的包如下：

 

2.1 自帶的編碼器和解碼器

自帶的編碼器和解碼器，編碼器的作用是傳輸的時候加密，解碼器的作用是使返回的包帶的值也是加密的

自帶編碼器發出的包：格式為：pwd=編碼方式['xxx']&xxx=內容

 

 

至此我們可以分析常規攔截：

 

（1）檢測流量包中的編碼方式

（2）檢測必須傳輸的內容，比如：@ini_set等字眼，不僅是明文，這些字眼的各種編碼形式也可以攔。編碼識別：只要原始數據不變，編碼都是固定的映射，例如只檢查ini_set("display_errors", "0") ，aW5pX3NldCgiZGlzcGxheV9lcnJvcnMiLCAiMCIp（base64） ，vav_frg("qvfcynl_reebef", "0") (rot13) …

 

 

（3）蟻劍自帶的header

 

針對以上明顯特征，蟻劍有自定義編碼器，自定義header,自定義分隔符……修改明顯特征以繞過檢測

 

2.2 自定義header

 

建議直接在文件modules/request.js中修改相應的參數值，將其修改成常用的useragent,項目路徑下的.modules/update.js也需要修改。也可以在每次連接時添加自定義header頭。

 

 

2.3 自定義編碼

在自定義編碼器中可以將加密的函數名隱去，分區傳遞，加入干擾字符等。

 

（1）自定義的base64編碼：

 

 

在編碼的同時也可以改變包的格式，使用multipart發包進行混淆，很多waf出于對業務性能影響，一般會把 multipart/form-data 這種多用來上傳文件的傳輸方式檢測關閉掉。不然攻擊者一直給你發大文件，一直損耗WAF的性能，拖垮業務。也可以使用分塊傳輸。

 

 

可以注意到，很多簡單的編碼器他的參數都是_0x.....=加密字符串，可以作為一個弱特征檢測。

 

（2）自定義hex:

 

 

檢測識別

xxx= 40696e695f7365742822646973706c61795f6572726f7273222c2022302229或者更短。

（3）rsa靜態密鑰（僅支持php）：

 

 

分區塊加密，并且會有分隔符，每個區塊的長度一致，RSA是分組加密算法，分組大小可以根據密鑰的大小而改變，然而密鑰是蟻劍自動生成的，所以每區塊長度一定是172字節，也就是之前的80字符base64加密的長度。且生成的密鑰是有很大的相似性的，也可以加強對shell的檢測。

 

 

但這也是弱特征，這樣的加密數據包已經是沒法解密了，那我們來看一下執行命令：

 

 

執行命令的時候會多幾個參數，且這幾個參數的值僅僅是通過base加密的，一個是執行方式：cmd，一個是執行的命令：whoami，在\source\core\base.js中有對這串字符的加密，這個是蟻劍把命令獨立于php語句傳輸。

 

 

處理方法：

①可在編碼器中通過遍歷將每個參數進行加密，也可在每個參數中加入混淆的字符串，在接收處理的時候刪除即可,參考方法：http://www.feidao.site/wordpress/?p=4495#1webshell。

②在該處編寫自己的加密方法，然后將\source\core\php\template文件夾內的js文件做對應修改

 

（4）AES動態密鑰：

 

要求站點支持openssl,默認是不開啟的。密鑰可以訪問網站時截取session或者截取其他的進行加密，做到動態key。當然，攔截的waf也可以學習這個方法，最后密鑰都是自己添加成硬編碼也不是不可。

 

 

 

AES加密后流量包基本就不能夠檢測出來了，執行其他命令時也需同上述操作一樣，遍歷將其他參數進行加密，但多次請求同一個包且參數相同參數值開頭相同也能夠算是一個弱特征。

 

（5）請求包成功加密，很多waf會選擇連接返回包，返回包是明文的，包含了很多關鍵字，例如[s][E]或者是其他敏感的詞匯,所以解碼器也隨之出現,解碼器和之前的加密方式以及防范方式多很相似，就不一一贅述了。

 

 

2.4 蟻劍市場自帶的插件

 

蟻劍的市場中也有很多一鍵繞過的插件，這里就不再進行研究。

 

③ 冰蝎3.0 Beta 9

 

冰蝎3.0 和v2.1相比，最重要的變化就是“去除動態密鑰協商機制，采用預共享密鑰，全程無明文交互，密鑰格式為md5("admin")[0:16]；冰蝎的默認密鑰為“e45e329feb5d925b”，正常連接發包如下（連接為兩個流量包，全文加密）：

 

 

明文：

 

明文：

 

 

密文的加密方式為先將傳遞數據base64加密，再將其進行AES加密，由于新版本中取消了動態密鑰交互過程，加密的密鑰被寫死在shell中，如果是不改密碼直接使用默認的shell,檢測是可以進行解密檢測敏感字符的，比如：error_reporting(0) ，phpinfo()等。

 

 

如果密碼交互失敗，冰蝎會進行常規密鑰交互階段，而且由于密碼錯誤，shell中獲取內容失敗，會爆出目錄文件錯誤提示。

 

 

如果攻擊者改了密碼，密文便無法監測，可以從header頭入手，首先是user-agent，內置的25個ua請求頭，不自定義的話太老，可以在其源碼constants.class中自行更改。

 

 

初始化的Accept,Accept-Language,Content-type這三個的值也是一個固定值，且Content-type為小寫t,這也可以作為一個監測點。

具體值如下：

 

"Accept", "text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9"

"Accept-Language", "zh-CN,zh;q=0.9,en-US;q=0.8,en;q=0.7"

"Content-type", "application/x-www-form-urlencoded"

或者

"Accept", "text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8"

"Accept-Language", "zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2"

"Content-type", "application/x-www-form-urlencoded"

 

其次為referer:連接的兩個包referer中的文件名都是隨機生成的，但文件名是純大寫或者是純小寫，可作為一個弱特征檢測。

 

 

Cookie:冰蝎的機制是需要從set-cookie中去取值，所以在發包中即使是有了cookie，他的接收包中都會有setcookie,除去第一個包沒有。

 

 

經測試可以發現在點擊虛擬終端時會連續發17個包，發包長度不一樣但是這17個包的接收長度一模一樣。攔截大量發包。

 

 

連接成功后不操作，冰蝎會每5-8分鐘（大概率是5分鐘）發一個測試包是否存活。

 

 

在連接時冰蝎發的兩個包，盡管現在較于2.0修改了length,但是在接收包中可以看到，第一個連接包是比較小的，控制在5000以下，后一個包大概是在17W或者18W左右，原因是因為后一個包會加載phpinfo()等界面內容作為主頁，導致返回的長度很長。

 

 

④ 哥斯拉v4.0.1

 

哥斯拉號稱全部類型的shell均可繞過市面所有靜態查殺、流量加密可繞過市面全部WAF，且自帶眾多插件。支持對載荷進行AES等各種加密，支持自定義Http頭，支持內存shell，提供豐富的Webshell功能。 哥斯拉客戶端運行在Java平臺上，通過調用Java庫產生TLS流量。

 

哥斯拉生成phpshell文件,存在默認密碼和密鑰:

 

 

phpshell有三種編碼方式：

 

EVAL_XOR_BASE64編碼連接特征很明顯，經過url解碼后，pass=eval(base64_decode... 攔截明顯的木馬特征即可。

 

 

XOR_BASE64編碼方式第一個包形式為pass=加密數據，無法檢測:(XOR_RAW與其類似，不再單獨分析)

 

 

經分析，哥斯拉連接時會有一個握手機制。其內容是固定的（加密前），響應也是固定的（加密前）。且加密中未填充隨機長度字符。故在默認密碼和密鑰的情況下，內容固定，可以檢測該握手機制包中的請求體和響應體：DlMRWA1cL1gOVDc2MjRhRwZFEQ%3D%3D

11cd6a8758984163fL1tMGI4YTljO/79NDQm7r9PZzBiOA==6c37ac826a2a04bc

注：密鑰改變，base加密字符串改變，密碼改變，md5加密字符串改變。

如果密碼和密鑰不是默認，可以檢測響應體的長度以及構成要素：前后為16位md5值，中間為32位加密字符串。

 

哥斯拉頁面配置中header中有三個固定值，user-agent,accept,accept-language。該弱特征也可作為檢測。