webshell管理工具-冰蝎(Behinder)的安装和基础使用(msf联动,流量特征) ...

简介

冰蝎是一款基于Java开发的动态加密通讯流量的新型Webshell客户端，由于通讯流量被加密，传统的WAF、IDS 装备难以检测，给威胁狩猎带来较大挑战。冰蝎其最大特点就是对交互流量举行对称加密，且加密密钥是由随机数函数动态天生，因此该客户端的流量险些无法检测。
github地址：https://github.com/rebeyond/Behinder/releases
在流量层，冰蝎的aes特征一直是厂商查杀的重点，在主机层，aes相关的API也是一个强特征。既然是特征，那就一定存在一个一成不变的常量，那我们就把这个特征泛化一下，让他成为变量。为了一劳永逸解决这个问题，v4.0版本提供了传输协议自定义功能，让用户对流量的加密和解密举行自定义，实现流量加解密协议的去中央化。v4.0版本不再有毗连密码的概念，你的自定义传输协议的算法就是毗连密码
安装

先要下载文件：

然后：

回车启动：

使用

天生木马

然后就会天生：

将shell.php上传至web目次,然后举行添加：

生存后双击即可进入：

平行空间

反弹shell

可以和MSF和CS联动

按照提示，在msf中做好监听：

通讯过程

冰蝎的通讯过程可以分为两个阶段：

• 密钥协商
  
• 加密传输
  

• 第一阶段-密钥协商
  1）攻击者通过 GET 大概 POST 方法，形如 http://192.168.3.60/shell.php?pass=645 的请求服务器密钥；
  2）服务器使用随机数 MD5 的高16位作为密钥，存储到会话的 $_SESSION 变量中，并返回密钥给攻击者。
  
• 第二阶段-加密传输
  1）客户端把待执行命令作为输入，使用 AES 算法或 XOR 运算举行加密，并发送至服务端；
  2）服务端接受密文后举行 AES 或 XOR 运算解密，执行相应的命令；
  3）执行结果通过AES加密后返回给攻击者。
  
  
  
  
  
  
  

加密原理

1. 1、本地对Payload进行加密，然后通过POST请求发送给远程服务端；
2. 2、服务端收到Payload密文后，利用解密算法进行解密；
3. 3、服务端执行解密后的Payload，并获取执行结果；
4. 4、服务端对Payload执行结果进行加密，然后返回给本地客户端；
5. 5、客户端收到响应密文后，利用解密算法解密，得到响应内容明文。

复制代码

一个完整的传输协议由两部门构成，本地协议和长途协议。由于客户端使用Java开发，因此本地协议的加解密算法需要用Java实现。长途协议根据服务端语言类型，可能为Java、PHP、C#、ASP。无论用哪种语言，同一个名称的传输协议，本地和长途的加解密逻辑应该是一致的，如许才能实现本地加密后，长途可以成功解密，长途加密后，本地同样也可以解密（因此如果修改默认的aes协议的key，则需要同时修改本地和长途的加密函数和加密函数中的key）
一个传输协议必须包罗一对本地加解密函数，至少包罗一对长途加解密函数（Java、PHP、C#、ASP中的一个大概多个）如下是传输协议中的本地加解密函数与长途加解密函数：

如许就能对应上述的流程！！
流量特征

Accept字段

1. Accept: application/json, text/javascript, */*; q=0.01

复制代码

检测方式：
浏览器可接受任何文件，但最倾向application/json和 text/javascript
Content-Type

1. Content-type: Application/x-www-form-urlencoded

复制代码

检测方式：
可以把这个字段作为一个弱特征，辅助其他特征来检测
User-agent

冰蝎设置了10种User-Agent,每次毗连shell时会随机选择一个举行使用。
这个主要是将冰蝎中的10种UA都记录下来然后举行匹配：

端口

冰蝎与webshell建立毗连的同时，javaw也与目的主机建立tcp毗连，每次毗连使用本地端口在49700左右，每毗连一次，每建立一次新的毗连，端口就依次增长。
可以对符合该范围内的端口告警。
PHP webshell 中存在固定代码

1. $post=Decrypt(file_get_contents(“php://input”));
2. eval($post);

复制代码

content字段中，将eval($post)作为流量特征纳入。
长毗连

冰蝎通讯默认使用长毗连，制止了频仍的握手造成的资源开销。默认情况下，请求头和相应头里会带有 Connection。
Connection: Keep-Alive
可以作为辅助的流量特征。
固定的请求头和相应头

请求：
dFAXQV1LORcHRQtLRlwMAhwFTAg/M

相应：
TxcWR1NNExZAD0ZaAWMIPAZjH1BFBFtHThcJSlUXWEd

毗连密码

默认时，所有冰蝎4.0 webshell都有“e45e329feb5d925b” 一串密钥。该密钥为毗连密码32位md5值的前16位，默认毗连密码rebeyond

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。