webshell

在之前某次渗透测试中,发现一个ASP.NET的站点,通过数据库权限提权拿下系统之后发现站点的密码是经过几次编码和不可逆加密算法存储的。
很早之前就立下flag说聊聊内存马,然后出了一篇文章Java Agent的内容。后来就搁浅了,这次想先写聊聊两种最为常见的内存马,spring内存马和filter内存马。
一天一个朋友跑过来,问我冰蝎又没有魔改的版本。说自己冰蝎执行命令被拦截了,于是我开始借此机会分析冰蝎源码,寻找其特征。
之前在.net篇中从一句话开始找然后逐步分析过度到冰蝎的木马,所以在java篇中我们便不在重复讲解了,直接从冰蝎v2.0版本的木马开始讲解吧!
命令执行漏洞是渗透测试中很常见的漏洞之一,也是我们攻防演练或者安全测试中快速getshell的一种途径,当然,有时发现命令执行漏洞到成功getshell的过程可能注定不会太过容易,如常见的一些问题:目标机器不出网,执行命令无回显,盲注浪费时间,写shell容器路径找不到,写shell字符转义错误,上传shell文件被杀等等。
此前冰蝎采用固定密码作为认证手段,后门生成动态密钥返回给客户端,再使用AES加密流量,缺点在于中间流量虽然被加密,但是密钥在连接阶段以明文的形式暴露在流量中,具有明显特征,安全设备已经可以在识别到冰蝎后,精准提取密钥解密后续流量。
本文对哥斯拉工具生成后门流程、连接后门流程、后门文件、后门功能进行了分析。
众所周知,攻防演练过程中,攻击队入侵企业网站时,通常要通过各种方式获取 webshell,从而获得企业网站的控制权,然后方便实施之后的入侵行为。
基于现阶段红蓝对抗强度的提升,诸如WAF动态防御、态势感知、IDS恶意流量分析监测、文件多维特征监测、日志监测等手段,能够及时有效地检测、告警甚至阻断针对传统通过文件上传落地的Webshell或需以文件形式持续驻留目标服务器的恶意后门。
基于现阶段红蓝对抗强度的提升,诸如WAF动态防御、态势感知、IDS恶意流量分析监测、文件多维特征监测、日志监测等手段,能够及时有效地检测、告警甚至阻断针对传统通过文件上传落地的Webshell或需以文件形式持续驻留目标服务器的恶意后门。