WebShell流量特征检测_哥斯拉篇

最新推荐文章于 2024-10-24 22:45:48 发布
最新推荐文章于 2024-10-24 22:45:48 发布
阅读量218 收藏
点赞数
文章标签： android android studio ide
80后用菜刀，90后用蚁剑，95后用冰蝎和哥斯拉，以phpshell连接为例，本文主要是对这四款经典的webshell管理工具进行流量分析和检测。

什么是一句话木马？

1、定义
顾名思义就是执行恶意指令的木马，通过技术手段上传到指定服务器并可以正常访问，将我们需要服务器执行的命令上传并执行
2、特点
短小精悍，功能强大，隐蔽性非常好
3、 举例
php一句话木马用php语言编写的，运行在php环境中的php文件，例：<?php @eval($_POST['pass']);?>
4、原理
以最为常见的php一句话木马为例，"<?php ?>"为php固定规范写法，"@"在php中含义为后面如果执行错误不会报错，"eval()"函数表示括号里的语句全做代码执行，"$_POST['pass']"表示从页面中以post方式获取变量pass的值

四、哥斯拉（Godzilla v3.0）

①全部类型的shell能绕过市面大部分的静态查杀
②流量加密能绕过过市面绝大部分的流量Waf
③Godzilla自带的插件是冰蝎、蚁剑不能比拟的

1、主要功能

它能实现的功能除了传统的命令执行、文件管理、数据库管理之外，根据shell类型的不同还包括了：
（1）MSF联动
（2）绕过OpenBasedir
（3）ZIP压缩 ZIP解压
（4）代码执行
（5）绕过 DisableFunctions
（6）Mimikatz
（7）读取服务器 FileZilla Navicat Sqlyog Winscp XMangager 的配置信息以及密码
（8）虚拟终端 可以用netcat连接
（9）Windows权限提升 （2012-2019烂土豆）
（10）读取服务器 谷歌 IE 火狐 浏览器保存的账号密码
（11）Windows权限提升烂土豆的C#版本 甜土豆
（12）支持 哥斯拉 冰蝎 菜刀 ReGeorg 的内存shell 并且支持卸载
（13）屏幕截图
（14）Servlet管理 Servlet卸载
（15）内存加载Jar 将Jar加载到 SystemClassLoader

2、基础配置

首先从使用最多的PHP_XOR_BASE64类型的加密shell说起，所用的shell主要配置如下：
①URL：http://172.16.159.129/godzilla_shell.php
②密码：pass
③密钥：key
④有效载荷：PhpDynamicPayload
⑤加密器：PHP_XOR_BASE64
⑥哥斯拉的Shell配置包括基本配置和请求配置，其中基本配置主要设置shell地址、密码、密钥、加密器等信息

这里要注意密码和密钥的不同：
①密码：和蚁剑、菜刀一样，密码就是POST请求中的参数名称，本例中哥斯拉提交的每个请求都是pass=xxxxxxxx这种形式
②密钥：用于对请求数据进行加密，不过加密过程中并非直接使用密钥明文，而是计算密钥的md5值，然后取其前16位用于加密过程
③哥斯拉shell的请求配置主要用于自定义HTTP请求头，以及在最终的请求数据左右再追加一些扰乱数据，进一步降低流量的特征

3、PHP_XOR_BASE64加密器

哥斯拉内置了3种Payload以及6种加密器，6种支持脚本后缀，20个内置插件，以下主要以PHP_XOR_BASE64为例进行分析。

（1）加密原理

XOR运算
在逻辑运算之中，除了 AND和 OR，还有一种 XOR运算，中文称为"异或运算"。
它的定义是：两个值相同时，返回false，否则返回true。也就是说，XOR可以用来判断两个值是否不同。

JavaScript
语言的二进制运算，有一个专门的 XOR 运算符，写作^。

上面代码中，如果两个二进制位相同，就返回0，表示false；否则返回1，表示true。
XOR加密
XOR运算有一个很奇妙的特点：如果对一个值连续做两次 XOR，会返回这个值本身。

① 上面代码中，原始信息是message，密钥是key，第一次 XOR会得到加密文本cipherText。对方拿到以后，再用key做一次XOR 运算，就会还原得到message。
② 如果每次的key都是随机的，那么产生的CipherText具有所有可能的值，而且是均匀分布，无法从CipherText看出message的任何特征。它具有最大的"信息熵"，这被称为XOR 的"完美保密性"（perfect secrecy）。
③ XOR 的这个特点，使得它可以被用于信息的加密。

（2）客户端加密模块分析

哥斯拉的源码是通过反编译 Godzilla.jar得到的，作者并未做代码混淆。

从代码中可以分析出，发送的payload内容先经过XOR加密后，再将密文进行base64编码，最后进行URL编码。

XOR加密的密钥来自用户提供的密钥经过MD5的32位摘要后，取前16位的值。

（3）Shell服务器端代码分析

PHP_XOR_BASE64类型的加密shell的服务器端代码如下，其中定义了encode函数，用于加密或解密请求数据。由于是通过按位异或实现的加密，所以encode函数即可用于加密，同时也可用于解密。

整个shell的基本执行流程是：服务器接收到哥斯拉发送的第一个请求后，由于此时尚未建立session，所以将POST请求数据解密后（得到的内容为shell操作中所需要用到的相关php函数定义代码）存入session中，后续哥斯拉只会提交相关操作对应的函数名称（如获取目录中的文件列表对应的函数为getFile）和相关参数，这样哥斯拉的相关操作就不需要发送大量的请求数据。

（4）数据包分析

这里从Shell Setting对话框中的测试连接操作开始分析，在Shell Setting对话框中，一共会产生3个POST数据包，POST请求报文中参数名都是pass（即shell的连接密码），参数值都是加密数据。
①第一个Request请求数据包

简单分析了一下payload的内容，包含run、bypass_open_basedir、formatParameter、evalFunc等二十多个功能函数，具备代码执行、文件操作、数据库操作等诸多功能。

②第一个Response响应数据包

该请求不含有任何Cookie信息，服务器响应报文不含任何数据，但是会设置PHPSESSID，后续请求都会自动带上该Cookie。
③第二个Request请求数据包

第二个请求报文发送很少数据（实际内容为测试连接命令test），返回少量数据（即ok）

④第二个Response响应数据包

服务器响应数据解密过程并不复杂，先调用findStr函数删除服务器响应数据左右附加的混淆字符串（对于PHP_XOR_BASE64加密方式来说，前后各附加了16位的混淆字符），然后将得到的数据进行base64解码，最后再和shell连接密钥md5值的前16位按位异或，即完成响应数据的解密。

⑤第三个Request请求数据包

运行哥斯拉命令执行代码中的getBasicsInfo函数得到的系统基本信息。

⑥第三个Response响应数据包

4、PHP_EVAL_XOR_BASE64加密器

哥斯拉不同的加密器发送请求的过程都是一样的，不同之处在于加密/解密的实现方式不同。
PHP_EVAL_XOR_BASE64加密shell的特点如下：
Ø请求数据加密得到的密文形式：pass=evalContent&key=XXXXXXXX，其中 pass是shell密码，key是shell密钥
Ø每个请求中的pass=evalContent都是 相同的，evalContent是将shells/cryptions/phpXor/template/base64.bin文件内容经过编码得到的（先删除第1行的<?php，再将其中的{pass}替换为shell密码，将{secretKey}替换为shell密钥）
Ø每个请求中的key=XXXXXXXX才是 实际执行的shell操作，加密方法和PHP_XOR_BASE64加密shell的方式相同
evalContent的加密过程如下：
①提取src/shells/cryptions/phpXor/template/base64.bin文件内容
②将base64.bin文件内容进行 base64编码
③将第2步中编码得到的字符串 逆序排列
④将第3步中得到的字符串进行 URL编码
⑤将第4步中得到的字符串拼接到 eval(base64_decode(strrev(urldecode('第4步中得到的字符串'))));中，即为最终的evalContent

5、PHP_XOR_RAW加密器

PHP_XOR_RAW加密shell的加解过程只是将原始数据与shell密钥（本例中为key）md5值的前16位 按位异或，然后将得到的二进制字节码直接发送给服务器；服务器返回的响应数据也是二进制字节码，左右不再追加任何数据。

6、规则落地

复制代码 
alert http any any -> any any (msg:"哥斯拉/Godzilla PHP Base64 连接成功";
flow:established,from_server;
flowbits:txisset,Godzilla_webshell_request_match;
http.server;
content:"Rising", negate;
http.response_body;
bsize:36;
pcre:"/^([0-9A-F]{16}|[0-9a-f]{16})/";
pcre:"/([0-9A-F]{16}|[0-9a-f]{16})$/";
pcre:"/^[\s\S]{16}(.*)[\s\S]{16}$/";
pcrexform:"^[\s\S]{16}(.*)[\s\S]{16}$";
pcre:"/[\s\S]/";
base64;
flowbits:unset,Godzilla_webshell_request_match;
)
复制代码
  • alert http any any -> any any 表示对任何源IP和目的IP之间的HTTP流量生成告警。
  • msg:"哥斯拉/Godzilla PHP Base64 连接成功" 是告警的描述信息。
  • flow:from server,established 表示只对来自服务器端的已建立连接的流量进行检测。
  • flowbits:isset,Godzilla webshell request match 检查名为"Godzilla webshell request match"的流状态位是否已被设置。(注意这里使用了isset而不是txisset)
  • http.server 表示只对HTTP服务器响应进行检测。
  • content:!"Rising" 表示检测HTTP响应正文中不包含字符串"Rising"。
  • http.response body 表示对HTTP响应的正文部分进行检测。
  • bsize:36 指定只检测响应正文的前36个字节。
  • pcre:"/^([0-9A-F]{16}|[0-9a-f]{16})/"和pcre:"/([0-9A-F]{16}|[0-9a-f]{16})$/" 使用Perl兼容正则表达式(PCRE)检测响应正文是否以16个十六进制字符开头和结尾。
  • pcre:"/^[\s\S]{16}(.*)[\s\S]{16}$/"和pcrexform:"^[\s\S]{16}(.*)[\s\S]{16}$" 使用PCRE检测响应正文是否符合特定的模式,即以16个任意字符开头,任意字符串为中间部分,再以16个任意字符结尾。
  • pcre:"/[\s\S]/" 匹配响应正文中的单个被方括号包围的任意字符。
  • isbase64:3 表示对匹配到的内容进行Base64解码,并检查解码后的字节数是否是3的倍数。
  • flowbits: unset,Godzilla webshell request match 清除名为"Godzilla webshell request match"的流状态位。
原创作者: congcon 转载于: https://www.cnblogs.com/congcon/p/18361124
Lrrrissss
关注
30-1 webshell 流量分析 - 哥斯拉
weixin_43263566的博客
03-24 330
响应包：Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0。请求包：Accept-Language: zh-CN,zh;我这里的操作是在之前已经有链接的基础上，如果是刚创建就在这个地方设置代理。链接我直接用之前的，这里我就改一下代理。
菜刀、冰蝎、蚁剑、哥斯拉的流量特征
eternitymd的博客
04-29 2万+
菜刀流量特征(最开始是明文传输，后来采用base64加密)：PHP类WebShell链接流量 如下图： 第一：“eval”，eval函数用于执行传递的攻击payload，这是必不可少的； 第二：(base64_decode($_POST[z0]))，(base64_decode($_POST[z0]))将攻击payload进行Base64解码，因为菜刀默认是使用Base64编码，以避免被检测； 第三：&z0=QGluaV9zZXQ...，该部分是传递攻击payload，此参数z0对应$_
特征码免杀webshell
05-04
特征码免杀webshell免杀性能好。稳定性强这个是非常好的一份开源代码。
webshell流量特征
最新发布
weixin_56353201的博客
10-24 694
例如在网络安全监测中，如果发现某个请求的 User-Agent 为类似 Java 版本的标识，就可以引起一定的警惕，但不能仅凭此确定就是哥斯拉的流量，因为很多正常的 Java 应用也可能有类似的 User-Agent。在网络安全监测中，如果发现 content-Length 中有 uelencode 字段的请求，且具有其他蚁剑的特征，就需要高度关注，很有可能是蚁剑的流量。网络安全防护人员可以通过监测网络流量中的响应包，一旦发现明文的响应包，且具有一定的特征，就需要高度关注，很有可能是蚁剑的流量。
webshell客户端流量特征
buffedon的博客
07-14 5014
webshell客户端流量特征概述：1. 冰蝎2. 中国菜刀2011，2014版本2016版本3. Cknife4. 蚁剑5. 哥斯拉 webshell客户端 用于webshell后门和攻击者之间的通信程序，我们可以通过webshell客户端的流量来判断服务器上是否存在Webshell后门。 概述： 中国菜刀：流量特征比较明显，2011,2014版本中，流量中有的php代码，asp代码是明文形式，jsp代码有固定格式，容易被检测出来。2016版本隐蔽性增强，对php，asp代码增加了混淆，还对ASP代码进行
常见webshell工具流量特征分析(哥斯拉、冰蝎、蚁剑、菜刀)
weixin_45971758的博客
06-23 3817
message 是一段超极长的字符串，分析冰蝎请求中的 PHP 代码，发现他就是 content 经过 base64 -> aes 加密后生成的，作用和请求中的 content 一致都是绕过 $Content-Length。冰蝎与webshell建立连接的同时，javaw也与目的主机建立tcp连接，每次连接使用本地端口在49700左右，每连接一次，每建立一次新的连接，端口就依次增加。content：“浏览器版本”。流量解密过程： 解AES密钥为(连接密码的MD5的前16位) --> 解base64两次。
哥斯拉webshell.zip
08-17
‌哥斯拉（Godzilla）‌是一个基于流量加密的Webshell管理工具，具备多种Payload、加密器和内置插件，能够绕过静态查杀和流量WAF。它采用AES加密算法，支持跨平台使用，并且能够自动生成Webshell，所有类型的shell均...
攻击工具分析：哥斯拉(Godzilla)1
08-03
同时，哥斯拉通过加密通信的方式，能够有效地规避流量Waf的检测，进一步提高了其在恶意活动中生存的能力。 哥斯拉的加密模块采用了PHP_XOR_base64算法。在攻击过程中，payload首先经过XOR加密，然后进行base64编码...
哥斯拉Webshell管理工具：安全绕过与流量加密
1. 基于流量加密的Webshell管理工具：哥斯拉通过加密Webshell与攻击者之间的通讯，使得流量加密后的数据难以被安全检测系统识别和拦截，从而有效规避防火墙、入侵检测系统（IDS）和入侵防御系统（IPS）等安全设备的...
webshell特征码定位器
02-22
强大的webshell特征码定位器工具 很好用的哦 嘿嘿
webshell特征与分析
qq_59357741的博客
06-09 507
webshell的特征和分析
Webshell工具的流量特征分析（菜刀，蚁剑，冰蝎，哥斯拉）
热门推荐
告白的博客
05-31 2万+
0x00 前言 使用各种的shell工具获取到目标权限，即可进行数据操作，今天来简要分析一下目前常使用的各类shell管理工具的流量特诊，帮助蓝队同学在风险识别上快速初值 0x01 中国菜刀流量分析 0x02 ......
冰蝎、蚁剑、哥斯拉的流量特征
qq_53218512的博客
06-11 4702
webshell管理工具，蚁剑、冰蝎哥斯拉的流量特征
渗透测试-菜刀冰蝎蚁剑哥斯拉等webshell工具及特征分析
wangluoanquan111的博客
03-17 1122
在测试过程中，我们经常会运到各种webshell管理工具，这里我介绍几种常见的webshell工具给大家。webshell就是以asp、php、jsp或者cgi等网页文件形式存在的一种代码执行环境，主要用于网站管理、服务器管理、权限管理等操作。使用方法简单，只需上传一个代码文件，通过网址访问，便可进行很多日常操作，极大地方便了使用者对网站和服务器的管理。?
webshell管理工具的流量特征分析（菜刀、蚁剑、冰蝎、哥斯拉）
Bossfrank的博客
05-05 2695
本文介绍了菜刀、蚁剑、冰蝎、哥斯拉四种常见的webshell管理工具的流量特征。从攻防演练和安全岗位面试的角度阐述了这些远控工具的检测方法。
webshell流量特征分析
04-08
根据提供的引用内容，我们可以通过分析URL、参数和头部信息来判断是否存在webshell流量[^1]。常见的webshell流量特征包括： 1. URL特征：检查URL中是否包含可疑的文件名、路径或参数，例如常见的webshell文件名、路径或参数。 2. 参数特征：分析请求中的参数，查找是否存在可疑的命令执行、文件上传或代码执行等操作。例如，检查参数中是否包含eval、exec、system等关键字。 3. 头部信息特征：检查请求的头部信息，查找是否存在异常的User-Agent、Referer或Cookie等字段。例如，检查User-Agent是否为常见的webshell工具的标识。 通过以上特征分析，可以帮助我们检测和识别webshell流量。然而，需要注意的是，webshell的流量特征是不断变化的，攻击者会不断改变webshell的代码和流量特征来规避检测。因此，及时更新和使用最新的webshell检测规则和工具是非常重要的。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值