WebShell流量特征检测_哥斯拉篇

2024-09-07 23:28
文章标签 检测 流量 特征 webshell 哥斯拉

本文主要是介绍WebShell流量特征检测_哥斯拉篇，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

90后用菜刀，95后用蚁剑，00后用冰蝎和哥斯拉，以phpshell连接为例，本文主要是对后三款经典的webshell管理工具进行流量分析和检测。

什么是一句话木马？

1、定义

顾名思义就是执行恶意指令的木马，通过技术手段上传到指定服务器并可以正常访问，将我们需要服务器执行的命令上传并执行

2、特点

短小精悍，功能强大，隐蔽性非常好

3、举例

php一句话木马用php语言编写的，运行在php环境中的php文件，例：<?php @eval($_POST['pass']);?>

4、原理

以最为常见的php一句话木马为例，"<?php ?>"为php固定规范写法，"@"在php中含义为后面如果执行错误不会报错，"eval()"函数表示括号里的语句全做代码执行，"$_POST['pass']"表示从页面中以post方式获取变量pass的值

一、哥斯拉（Godzilla v3.0）

①全部类型的shell能绕过市面大部分的静态查杀
②流量加密能绕过过市面绝大部分的流量Waf
③Godzilla自带的插件是冰蝎、蚁剑不能比拟的

1、主要功能

它能实现的功能除了传统的命令执行、文件管理、数据库管理之外，根据shell类型的不同还包括了：
（1）MSF联动
（2）绕过OpenBasedir
（3）ZIP压缩 ZIP解压
（4）代码执行
（5）绕过 DisableFunctions
（6）Mimikatz
（7）读取服务器 FileZilla Navicat Sqlyog Winscp XMangager 的配置信息以及密码
（8）虚拟终端 可以用netcat连接
（9）Windows权限提升 （2012-2019烂土豆）
（10）读取服务器 谷歌 IE 火狐 浏览器保存的账号密码
（11）Windows权限提升烂土豆的C#版本 甜土豆
（12）支持 哥斯拉 冰蝎 菜刀 ReGeorg 的内存shell 并且支持卸载
（13）屏幕截图
（14）Servlet管理 Servlet卸载
（15）内存加载Jar 将Jar加载到 SystemClassLoader

2、基础配置

首先从使用最多的PHP_XOR_BASE64类型的加密shell说起，所用的shell主要配置如下：
①URL：http://172.16.159.129/godzilla_shell.php
②密码：pass
③密钥：key
④有效载荷：PhpDynamicPayload
⑤加密器：PHP_XOR_BASE64
⑥哥斯拉的Shell配置包括基本配置和请求配置，其中基本配置主要设置shell地址、密码、密钥、加密器等信息

这里要注意密码和密钥的不同：
①密码：和蚁剑、菜刀一样，密码就是POST请求中的参数名称，本例中哥斯拉提交的每个请求都是pass=xxxxxxxx这种形式
②密钥：用于对请求数据进行加密，不过加密过程中并非直接使用密钥明文，而是计算密钥的md5值，然后取其前16位用于加密过程
③哥斯拉shell的请求配置主要用于自定义HTTP请求头，以及在最终的请求数据左右再追加一些扰乱数据，进一步降低流量的特征

3、PHP_XOR_BASE64加密器

哥斯拉内置了3种Payload以及6种加密器，6种支持脚本后缀，20个内置插件，以下主要以PHP_XOR_BASE64为例进行分析。

（1）加密原理

XOR运算

在逻辑运算之中，除了 AND和 OR，还有一种 XOR运算，中文称为"异或运算"。

它的定义是：两个值相同时，返回false，否则返回true。也就是说，XOR可以用来判断两个值是否不同。

JavaScript

语言的二进制运算，有一个专门的 XOR 运算符，写作^。

上面代码中，如果两个二进制位相同，就返回0，表示false；否则返回1，表示true。

XOR加密

XOR运算有一个很奇妙的特点：如果对一个值连续做两次 XOR，会返回这个值本身。

①上面代码中，原始信息是message，密钥是key，第一次 XOR会得到加密文本cipherText。对方拿到以后，再用key做一次XOR 运算，就会还原得到message。

②如果每次的key都是随机的，那么产生的CipherText具有所有可能的值，而且是均匀分布，无法从CipherText看出message的任何特征。它具有最大的"信息熵"，这被称为XOR 的"完美保密性"（perfect secrecy）。

③XOR 的这个特点，使得它可以被用于信息的加密。

（2）客户端加密模块分析

哥斯拉的源码是通过反编译Godzilla.jar得到的，作者并未做代码混淆。

从代码中可以分析出，发送的payload内容先经过XOR加密后，再将密文进行base64编码，最后进行URL编码。

XOR加密的密钥来自用户提供的密钥经过MD5的32位摘要后，取前16位的值。

（3）Shell服务器端代码分析

PHP_XOR_BASE64类型的加密shell的服务器端代码如下，其中定义了encode函数，用于加密或解密请求数据。由于是通过按位异或实现的加密，所以encode函数即可用于加密，同时也可用于解密。

整个shell的基本执行流程是：服务器接收到哥斯拉发送的第一个请求后，由于此时尚未建立session，所以将POST请求数据解密后（得到的内容为shell操作中所需要用到的相关php函数定义代码）存入session中，后续哥斯拉只会提交相关操作对应的函数名称（如获取目录中的文件列表对应的函数为getFile）和相关参数，这样哥斯拉的相关操作就不需要发送大量的请求数据。

（4）数据包分析

这里从Shell Setting对话框中的测试连接操作开始分析，在Shell Setting对话框中，一共会产生3个POST数据包，POST请求报文中参数名都是pass（即shell的连接密码），参数值都是加密数据。

①第一个Request请求数据包

简单分析了一下payload的内容，包含run、bypass_open_basedir、formatParameter、evalFunc等二十多个功能函数，具备代码执行、文件操作、数据库操作等诸多功能。

②第一个Response响应数据包

该请求不含有任何Cookie信息，服务器响应报文不含任何数据，但是会设置PHPSESSID，后续请求都会自动带上该Cookie。

③第二个Request请求数据包

第二个请求报文发送很少数据（实际内容为测试连接命令test），返回少量数据（即ok）

④第二个Response响应数据包

服务器响应数据解密过程并不复杂，先调用findStr函数删除服务器响应数据左右附加的混淆字符串（对于PHP_XOR_BASE64加密方式来说，前后各附加了16位的混淆字符），然后将得到的数据进行base64解码，最后再和shell连接密钥md5值的前16位按位异或，即完成响应数据的解密。

⑤第三个Request请求数据包

运行哥斯拉命令执行代码中的getBasicsInfo函数得到的系统基本信息。

⑥第三个Response响应数据包

4、PHP_EVAL_XOR_BASE64加密器

哥斯拉不同的加密器发送请求的过程都是一样的，不同之处在于加密/解密的实现方式不同。

PHP_EVAL_XOR_BASE64加密shell的特点如下：

Ø请求数据加密得到的密文形式：pass=evalContent&key=XXXXXXXX，其中pass是shell密码，key是shell密钥

Ø每个请求中的pass=evalContent都是相同的，evalContent是将shells/cryptions/phpXor/template/base64.bin文件内容经过编码得到的（先删除第1行的<?php，再将其中的{pass}替换为shell密码，将{secretKey}替换为shell密钥）

Ø每个请求中的key=XXXXXXXX才是实际执行的shell操作，加密方法和PHP_XOR_BASE64加密shell的方式相同

evalContent的加密过程如下：

①提取src/shells/cryptions/phpXor/template/base64.bin文件内容

②将base64.bin文件内容进行base64编码

③将第2步中编码得到的字符串逆序排列

④将第3步中得到的字符串进行URL编码

⑤将第4步中得到的字符串拼接到eval(base64_decode(strrev(urldecode('第4步中得到的字符串'))));中，即为最终的evalContent

5、PHP_XOR_RAW加密器

PHP_XOR_RAW加密shell的加解过程只是将原始数据与shell密钥（本例中为key）md5值的前16位按位异或，然后将得到的二进制字节码直接发送给服务器；服务器返回的响应数据也是二进制字节码，左右不再追加任何数据。

6、规则落地

复制代码

alert http any any -> any any (msg:"哥斯拉/Godzilla PHP Base64 连接成功";
flow:established,from_server;
flowbits:txisset,Godzilla_webshell_request_match;
http.server;
content:"Rising", negate;
http.response_body;
bsize:36;
pcre:"/^([0-9A-F]{16}|[0-9a-f]{16})/";
pcre:"/([0-9A-F]{16}|[0-9a-f]{16})$/";
pcre:"/^[\s\S]{16}(.*)[\s\S]{16}$/";
pcrexform:"^[\s\S]{16}(.*)[\s\S]{16}$";
pcre:"/[\s\S]/";
base64;
flowbits:unset,Godzilla_webshell_request_match;
)

复制代码

  • alert http any any -> any any 表示对任何源IP和目的IP之间的HTTP流量生成告警。

  • msg:"哥斯拉/Godzilla PHP Base64 连接成功" 是告警的描述信息。

  • flow:from server,established 表示只对来自服务器端的已建立连接的流量进行检测。

  • flowbits:isset,Godzilla webshell request match 检查名为"Godzilla webshell request match"的流状态位是否已被设置。(注意这里使用了isset而不是txisset)

  • http.server 表示只对HTTP服务器响应进行检测。

  • content:!"Rising" 表示检测HTTP响应正文中不包含字符串"Rising"。

  • http.response body 表示对HTTP响应的正文部分进行检测。

  • bsize:36 指定只检测响应正文的前36个字节。

  • pcre:"/^([0-9A-F]{16}|[0-9a-f]{16})/"和pcre:"/([0-9A-F]{16}|[0-9a-f]{16})$/" 使用Perl兼容正则表达式(PCRE)检测响应正文是否以16个十六进制字符开头和结尾。

  • pcre:"/^[\s\S]{16}(.*)[\s\S]{16}$/"和pcrexform:"^[\s\S]{16}(.*)[\s\S]{16}$" 使用PCRE检测响应正文是否符合特定的模式,即以16个任意字符开头,任意字符串为中间部分,再以16个任意字符结尾。

  • pcre:"/[\s\S]/" 匹配响应正文中的单个被方括号包围的任意字符。

  • isbase64:3 表示对匹配到的内容进行Base64解码,并检查解码后的字节数是否是3的倍数。

  • flowbits: unset,Godzilla webshell request match 清除名为"Godzilla webshell request match"的流状态位。

这篇关于WebShell流量特征检测_哥斯拉篇的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/1146466。

相关文章

综合安防管理平台LntonAIServer视频监控汇聚抖动检测算法优势

综合安防管理平台LntonAIServer视频监控汇聚抖动检测算法优势

LntonAIServer视频质量诊断功能中的抖动检测是一个专门针对视频稳定性进行分析的功能。抖动通常是指视频帧之间的不必要运动，这种运动可能是由于摄像机的移动、传输中的错误或编解码问题导致的。抖动检测对于确保视频内容的平滑性和观看体验至关重要。 优势 1. 提高图像质量 - 清晰度提升：减少抖动，提高图像的清晰度和细节表现力，使得监控画面更加真实可信。 - 细节增强：在低光条件下，抖
阅读更多...
烟火目标检测数据集 7800张 烟火检测 带标注 voc yolo

烟火目标检测数据集 7800张 烟火检测 带标注 voc yolo

一个包含7800张带标注图像的数据集，专门用于烟火目标检测，是一个非常有价值的资源，尤其对于那些致力于公共安全、事件管理和烟花表演监控等领域的人士而言。下面是对此数据集的一个详细介绍： 数据集名称：烟火目标检测数据集 数据集规模： 图片数量：7800张类别：主要包含烟火类目标，可能还包括其他相关类别，如烟火发射装置、背景等。格式：图像文件通常为JPEG或PNG格式；标注文件可能为X
阅读更多...
poj 2135 有流量限制的最小费用最大流

poj 2135 有流量限制的最小费用最大流

题意： 农场里有n块地，其中约翰的家在1号地，二n号地有个很大的仓库。 农场有M条道路（双向），道路i连接着ai号地和bi号地，长度为ci。 约翰希望按照从家里出发，经过若干块地后到达仓库，然后再返回家中的顺序带朋友参观。 如果要求往返不能经过同一条路两次，求参观路线总长度的最小值。 解析： 如果只考虑去或者回的情况，问题只不过是无向图中两点之间的最短路问题。 但是现在要去要回
阅读更多...
poj 3422 有流量限制的最小费用流 反用求最大 + 拆点

poj 3422 有流量限制的最小费用流 反用求最大 + 拆点

题意： 给一个n*n（50 * 50） 的数字迷宫，从左上点开始走，走到右下点。 每次只能往右移一格，或者往下移一格。 每个格子，第一次到达时可以获得格子对应的数字作为奖励，再次到达则没有奖励。 问走k次这个迷宫，最大能获得多少奖励。 解析： 拆点，拿样例来说明： 3 2 1 2 3 0 2 1 1 4 2 3*3的数字迷宫，走两次最大能获得多少奖励。 将每个点拆成两个
阅读更多...
poj 2195 bfs+有流量限制的最小费用流

poj 2195 bfs+有流量限制的最小费用流

题意： 给一张n * m（100 * 100）的图，图中” . " 代表空地， “ M ” 代表人， “ H ” 代表家。 现在，要你安排每个人从他所在的地方移动到家里，每移动一格的消耗是1，求最小的消耗。 人可以移动到家的那一格但是不进去。 解析： 先用bfs搞出每个M与每个H的距离。 然后就是网络流的建图过程了，先抽象出源点s和汇点t。 令源点与每个人相连，容量为1，费用为
阅读更多...
poj 3068 有流量限制的最小费用网络流

poj 3068 有流量限制的最小费用网络流

题意： m条有向边连接了n个仓库，每条边都有一定费用。 将两种危险品从0运到n-1，除了起点和终点外，危险品不能放在一起，也不能走相同的路径。 求最小的费用是多少。 解析： 抽象出一个源点s一个汇点t，源点与0相连，费用为0，容量为2。 汇点与n - 1相连，费用为0，容量为2。 每条边之间也相连，费用为每条边的费用，容量为1。 建图完毕之后，求一条流量为2的最小费用流就行了
阅读更多...
基于 YOLOv5 的积水检测系统：打造高效智能的智慧城市应用

基于 YOLOv5 的积水检测系统：打造高效智能的智慧城市应用

在城市发展中，积水问题日益严重，特别是在大雨过后，积水往往会影响交通甚至威胁人们的安全。通过现代计算机视觉技术，我们能够智能化地检测和识别积水区域，减少潜在危险。本文将介绍如何使用 YOLOv5 和 PyQt5 搭建一个积水检测系统，结合深度学习和直观的图形界面，为用户提供高效的解决方案。 源码地址： PyQt5+YoloV5 实现积水检测系统 预览： 项目背景
阅读更多...
JavaFX应用更新检测功能（在线自动更新方案）

JavaFX应用更新检测功能（在线自动更新方案）

JavaFX开发的桌面应用属于C端，一般来说需要版本检测和自动更新功能，这里记录一下一种版本检测和自动更新的方法。 1. 整体方案 JavaFX.应用版本检测、自动更新主要涉及一下步骤： 读取本地应用版本拉取远程版本并比较两个版本如果需要升级，那么拉取更新历史弹出升级控制窗口用户选择升级时，拉取升级包解压，重启应用用户选择忽略时，本地版本标志为忽略版本用户选择取消时，隐藏升级控制窗口 2.
阅读更多...
Sentinel 高可用流量管理框架

Sentinel 高可用流量管理框架

Sentinel 是面向分布式服务架构的高可用流量防护组件，主要以流量为切入点，从限流、流量整形、熔断降级、系统负载保护、热点防护等多个维度来帮助开发者保障微服务的稳定性。 Sentinel 具有以下特性: 丰富的应用场景：Sentinel 承接了阿里巴巴近 10 年的双十一大促流量的核心场景，例如秒杀（即突发流量控制在系统容量可以承受的范围）、消息削峰填谷、集群流量控制、实时熔断下游不可用应
阅读更多...
OmniGlue论文详解（特征匹配）

OmniGlue论文详解（特征匹配）

OmniGlue论文详解（特征匹配） 摘要1. 引言2. 相关工作2.1. 广义局部特征匹配2.2. 稀疏可学习匹配2.3. 半稠密可学习匹配2.4. 与其他图像表示匹配 3. OmniGlue3.1. 模型概述3.2. OmniGlue 细节3.2.1. 特征提取3.2.2. 利用DINOv2构建图形。3.2.3. 信息传播与新的指导3.2.4. 匹配层和损失函数3.2.5. 与Super
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2