冰蝎&哥斯拉流量特征分析

1.冰蝎(Behinder) 下载链接:https://github.com/rebeyond/Behinder/releases 截止至我发贴时,冰蝎最新版本是3.0,客户端兼容性有所提升(但仍不是所有JDK都支持的,如果你jar不能运行,看看是不是环境不满足要求,淦) 说点老生常谈的东西冰蝎使用了Java开发.加密传输,而且会常常更新,猝不及防...良心.神器,,,基本的webshell管理功能都有,而且很强大所以被盯上很久了 3.0以前的冰蝎采用了一个叫密钥协商的机制借这图展示一下老…

记一次解密wireshark抓取的冰蝎通信流量

一.关于冰蝎 1.1 简单介绍冰蝎是一款基于Java开发的动态加密通信流量的新型Webshell客户端.老牌 Webshell 管理神器——中国菜刀的攻击流量特征明显,容易被各类安全设备检测,实际场景中越来越少使用,加密 Webshell 正变得日趋流行. 由于通信流量被加密,传统的 WAF.IDS 设备难以检测,给威胁狩猎带来较大挑战.冰蝎其最大特点就是对交互流量进行对称加密,且加密秘钥是由随机数函数动态生成,因此该客户端的流量几乎无法检测. 1.2 关于冰蝎通信冰蝎通信大致分为两个阶段…

冰蝎动态二进制加密WebShell特征分析

概述冰蝎一款新型加密网站管理客户端,在实际的渗透测试过程中有非常不错的效果,能绕过目前市场上的大部分WAF.探针设备.本文将通过在虚拟环境中使用冰蝎,通过wireshark抓取冰蝎通信流量,结合平时在授权渗透中使用冰蝎马经验分析并总结特征. 版本介绍目前冰蝎已经迭代6个版本下载地址,从最初的v1.0版本到目前最新的版本v2.0.1,其中v1.0版本可以从此处下载到. 冰蝎最初的版本对于环境的要求较为苛刻,仅支持部分环境,绝大部分环境中都无法连接成功,目前最新版本可使用范围有了较大的提升,PH…

冰蝎动态二进制加密WebShell基于流量侧检测方案

概述冰蝎是一款新型动态二进制加密网站工具.目前已经有6个版本.对于webshell的网络流量侧检测,主要有三个思路.一:webshell上传过程中文件还原进行样本分析,检测静态文件是否报毒.二:webshell上线或建立连接过程的数据通信流量.三:webshell已连接后执行远程控制命令过程的数据通信流量.本文通过分析多个历史冰蝎版本及五种脚本(asp|aspx|jsp|jspx|php),结合第二点检测冰蝎上线的静态特征,并总结部分snort规则. 冰蝎通讯原理冰蝎采用AES加密,很多文章…

MacOS下如何优雅的使用冰蝎

因为冰蝎也是使用 JAVA 写的跨平台应用程序,我们可以借助 macOS 自带的自动操作 automator.app 来创建一个应用程序. 前言: 冰蝎是一种新型的Webshell连接工具,在日常的红蓝对抗中红方经常,只要将冰蝎的马上传到服务器并能够成功访问,那就可以执行诸多实用的功能 PS:最近一次红蓝某BAT中的一家便使用了冰蝎,绕过一些主流厂商的shell检测(不过应该是他们内部有过修改)成功攻进了企业内网并进行了横向.这也是因为只要在上传冰蝎码时和密匙协商建立连接的时候流量分析设备不能…

【原创】冰蝎v3.0操作使用手册

写在前面近期冰蝎更新了内网穿透模块中的一些功能,有不少朋友不知道参数怎么填,希望能出一个使用指导手册,就借这个机会写一个"说明书"(文中有大量演示动图,请耐心等待加载). 基本信息由于冰蝎采用了会话加密,所以客户端首次和服务端通信会有一个协商的过程(v3.0之后的版本不存在密钥协商过程),成功建立连接后,会把服务器侧的一些基本信息,显示在这个Tab页. 命令执行这里的命令执行提供非交互式的命令执行,常规功能,不再赘述. 虚拟终端虚拟终端提供一个交互式的真实终端,相当于把服务器侧…

利用shiro反序列化注入冰蝎内存马

利用shiro反序列化注入冰蝎内存马文章首发先知社区:https://xz.aliyun.com/t/10696 一.shiro反序列化注入内存马 1)tomcat filter内存马先来看一个普通的jsp写入tomcat filter内存马的代码: <%@ page import="org.apache.catalina.core.ApplicationContext" %> <%@ page import="java.lang.reflect.Fie…

内网安全之横向移动(冰蝎&&msf&&IPC$)

1.冰蝎介绍冰蝎是一款目前比较流行的Webshell管理工具,在2021年更新的2021.4.20 v3.0 Beta 9 版本中去除了动态密钥协商机制,采用预共享密钥,载荷全程无明文.因其优秀的加密传输特性,被攻击者广泛采用.冰蝎相较其它Webshell管理工具,具备如下优点:支持跨平台运行.多采用加密传输.版本更新频繁等.目前冰蝎已更新到2021.4.20 v3.0 Beta 9 ,新版本增加了Java内存马注入.支持多种Web容器.反向DMZ等功能. 2.实验通过获取内网中的主机sh…

关于AWD线下攻防的经验

备份: 1.备份源码,使用图像化工具连接ssh后,我喜欢用winscp, 找到根目录后,直接右键后台下载就行. 找根目录这里,有时候比赛不给根目录位置,上次去成信打,说找根目录也是一个考点其实也好找,先打开网站首页,谁的都行,因为大家的文件都一样, 然后查看源码,找一下源码中的php,jpg文件名.比如说有一个congrat.php 然后我进入ssh里面,执行find / -name congrat.p…

Java安全之安全加密算法

Java安全之安全加密算法 0x00 前言本篇文来谈谈关于常见的一些加密算法,其实在此之前,对算法的了解并不是太多.了解的层次只是基于加密算法的一些应用上.也来浅谈一下加密算法在安全领域中的作用.写本篇文也是基于算法的应用和实现,也是我的基本原则,能用就行. 0x01 算法体制在加密算法里面大致分为四大类:对称加密算法.非对称加密算法.散列函数.组合加密. 对称加密:指的是加密的密钥和解密的密钥相同. 非对称加密:指的是加密的密钥和加密的密钥不同.分为公钥和私钥. 散列函数:主要用于验证数据…

利用SSH隧道加密技术隐蔽C&C通信流量

在网络攻防博弈中,网络流量特征分析类安全防御措施得到了广泛应用.众多厂商和企业对网络流量进行恶意流量分析检测,从而针对性的采取防御措施,如各级ISP在骨干网络设备上大多采用网络流量分析检测的防御方案. 一.背景简介在网络攻防博弈中,网络流量特征分析类安全防御措施得到了广泛应用.众多厂商和企业对网络流量进行恶意流量分析检测,从而针对性的采取防御措施,如各级ISP在骨干网络设备上大多采用网络流量分析检测的防御方案.本文想通过标准的SSH的端口转发建立SSH形式的加密隧道,用于加密.隐蔽传输恶意流量…

Socks协议以及代理转发工具分析

前言:最近两场HW都和某师傅学到了挺多东西,算是对内网不出网以及流量代理做个分析(SOCKS协议,reGeorg原理分析,frp的代理,CS上的代理 SOCKS SOCKS(Socks:Protocol for sessions traversal across firewall securely)防火墙安全会话转换协议 SOCKS是一种网络传输协议,主要用于客户端和外网服务器之间通讯的中间传输.SOCKS是"socket secure"的缩写当防火墙后的客户端要访问外部的服务器时,…

简单记录一次getshell到进服务器的过程

通过st2命令执行上次木马进行getshell 查看whoami,发现权限是administrator,直接net user xxx xxx123.. /add,发现拒绝访问通过命令tasklist查看所有进程,发现有个360rp.exe 发现有360防护,在shell里找到一个可执行目录,以C:\为例子上传一个绕360创建user的vbs,然后虚拟终端执行: "C:\xxx.vbs" 然后查看net user发现创建成功查看ipconfig发现ip地址是内网ip 10.*.*.…

buu学习记录（上）

前言:菜鸡误入buu,差点被打吐.不过学到了好多东西. 题目名称: (1)随便注 (2)高明的黑客 (3)CheckIn (4)Hack World (5)SSRF Me (6)piapiapia (7)Easy Java (8)Dropbox (9)Pythonginx (10)ikun (11)Online Tool (12)Web1 (13)Ping Ping Ping (14)shrine (15)easy_web (16)Love Math 题目: 随便注涉及知识点: 堆叠注入解析…

针对spring mvc的controller内存马-学习和实验

1 基础实际上java内存马的注入已经有很多方式了,这里在学习中动手研究并写了一款spring mvc应用的内存马.一般来说实现无文件落地的java内存马注入,通常是利用反序列化漏洞,所以动手写了一个spring mvc的后端,并直接给了一个fastjson反序列化的页面,在假定的攻击中,通过jndi的利用方式让web端加载恶意类,注入controller.一切工作都是站在巨人的肩膀上,参考文章均在最后列出. 1.1 fastjson反序列化和JNDI 关于fastjson漏洞产生的具体原理已…

深入分析CVE-2021-4034及漏洞复现

正向shell总结一.winrm,http.sys(端口复用) 介绍 winrm WinRM全称是Windows Remote Management,是微软服务器硬件管理功能的一部分,能够对本地或远程的服务器进行管理.WinRM服务能够让管理员远程登录Windows操作系统,获得一个类似Telnet的交互式命令行shell,而底层通讯协议使用的是HTTP. HTTP.sys HTTP.sys驱动是IIS的主要组成部分,主要负责HTTP协议相关的处理,它有一个重要的功能叫Port Sharing…

初识Rasp——Openrasp代码分析

初识Rasp--Openrasp代码分析 @author:Drag0nf1y 本文首发于奇安信安全社区,现转载到个人博客. 原文链接: https://forum.butian.net/share/1959 什么是RASP? Rasp的概念 RASP(Runtime application self-protection)的概念,最早由Gartner在2014年提出,即"运行时自我保护",指对应用程序的保护不应该单纯依赖于外部的系统,而应该使程序自身带有自我保护的能力.RASP在实…

Deformity JSP Webshell、Webshell Hidden Learning

catalogue . JSP基础语法 . JSP Lexer By Lua . Open Source Code Analyzers in Java . WEBSHELL Samples . shell样本特征提取 1. JSP基础语法 0x1: 脚本程序脚本程序可以包含任意量的Java语句.变量.方法或表达式,只要它们在脚本语言中是有效的脚本程序的语法格式: <% 代码片段 %> 或者可以编写与其等价的XML语句 <jsp:scriptlet> 代码片段 </jsp:…

Centos7搭建SS以及加速配置的操作记录 (转载)

原文地址https://www.cnblogs.com/kevingrace/p/8495424.html 部署 Shadowsocks之前,对它做了一个简单的了解,下面先介绍下.一道隐形的墙众所周知,天朝局域网通过 GFW (中国防火墙长城:英文名称Great Firewall of China,简写为Great Firewall,缩写GFW)隔离了我们与外界的交流,当然,这个隔离并非完全隔离,而是选择性的,天朝不希望你上的网站就直接阻断.每一个网络请求都是有数据特征的,不同的协议具备不同的特…

Centos7搭建SS以及加速配置的操作记录

部署 Shadowsocks之前,对它做了一个简单的了解,下面先介绍下.一道隐形的墙众所周知,天朝局域网通过 GFW (中国防火墙长城:英文名称Great Firewall of China,简写为Great Firewall,缩写GFW)隔离了我们与外界的交流,当然,这个隔离并非完全隔离,而是选择性的,天朝不希望你上的网站就直接阻断.每一个网络请求都是有数据特征的,不同的协议具备不同的特征,比如 HTTP/HTTPS 这类请求,会很明确地告诉 GFW 它们要请求哪个域名:再比如 TCP 请求,…