利用shiro反序列化注入冰蝎内存马 文章首发先知社区:https://xz.aliyun.com/t/10696 一.shiro反序列化注入内存马 1)tomcat filter内存马 先来看一个普通的jsp写入tomcat filter内存马的代码: <%@ page import="org.apache.catalina.core.ApplicationContext" %> <%@ page import="java.lang.reflect.Fie

概述 冰蝎是一款新型动态二进制加密网站工具.目前已经有6个版本.对于webshell的网络流量侧检测,主要有三个思路.一:webshell上传过程中文件还原进行样本分析,检测静态文件是否报毒.二:webshell上线或建立连接过程的数据通信流量.三:webshell已连接后执行远程控制命令过程的数据通信流量.本文通过分析多个历史冰蝎版本及五种脚本(asp|aspx|jsp|jspx|php),结合第二点检测冰蝎上线的静态特征,并总结部分snort规则. 冰蝎通讯原理 冰蝎采用AES加密,很多文章

一.关于冰蝎 1.1 简单介绍 冰蝎是一款基于Java开发的动态加密通信流量的新型Webshell客户端.老牌 Webshell 管理神器——中国菜刀的攻击流量特征明显,容易被各类安全设备检测,实际场景中越来越少使用,加密 Webshell 正变得日趋流行. 由于通信流量被加密,传统的 WAF.IDS 设备难以检测,给威胁狩猎带来较大挑战.冰蝎其最大特点就是对交互流量进行对称加密,且加密秘钥是由随机数函数动态生成,因此该客户端的流量几乎无法检测. 1.2 关于冰蝎通信 冰蝎通信大致分为两个阶段

写在前面 近期冰蝎更新了内网穿透模块中的一些功能,有不少朋友不知道参数怎么填,希望能出一个使用指导手册,就借这个机会写一个"说明书"(文中有大量演示动图,请耐心等待加载). 基本信息 由于冰蝎采用了会话加密,所以客户端首次和服务端通信会有一个协商的过程(v3.0之后的版本不存在密钥协商过程),成功建立连接后,会把服务器侧的一些基本信息,显示在这个Tab页. 命令执行 这里的命令执行提供非交互式的命令执行,常规功能,不再赘述. 虚拟终端 虚拟终端提供一个交互式的真实终端,相当于把服务器侧

概述 冰蝎一款新型加密网站管理客户端,在实际的渗透测试过程中有非常不错的效果,能绕过目前市场上的大部分WAF.探针设备.本文将通过在虚拟环境中使用冰蝎,通过wireshark抓取冰蝎通信流量,结合平时在授权渗透中使用冰蝎马经验分析并总结特征. 版本介绍 目前冰蝎已经迭代6个版本下载地址,从最初的v1.0版本到目前最新的版本v2.0.1,其中v1.0版本可以从此处下载到. 冰蝎最初的版本对于环境的要求较为苛刻,仅支持部分环境,绝大部分环境中都无法连接成功,目前最新版本可使用范围有了较大的提升,PH

因为冰蝎也是使用 JAVA 写的跨平台应用程序,我们可以借助 macOS 自带的 自动操作 automator.app 来创建一个应用程序. 前言: 冰蝎是一种新型的Webshell连接工具,在日常的红蓝对抗中红方经常,只要将冰蝎的马上传到服务器并能够成功访问,那就可以执行诸多实用的功能 PS:最近一次红蓝某BAT中的一家便使用了冰蝎,绕过一些主流厂商的shell检测(不过应该是他们内部有过修改)成功攻进了企业内网并进行了横向.这也是因为只要在上传冰蝎码时和密匙协商建立连接的时候流量分析设备不能

1.冰蝎(Behinder) 下载链接:https://github.com/rebeyond/Behinder/releases 截止至我发贴时,冰蝎最新版本是3.0,客户端兼容性有所提升(但仍不是所有JDK都支持的,如果你jar不能运行,看看是不是环境不满足要求,淦) 说点老生常谈的东西 冰蝎使用了Java开发.加密传输,而且会常常更新,猝不及防...良心.神器,,,基本的webshell管理功能都有,而且很强大 所以被盯上很久了 3.0以前的冰蝎采用了一个叫密钥协商的机制 借这图展示一下老

1.冰蝎介绍 冰蝎是一款目前比较流行的Webshell管理工具,在2021年更新的2021.4.20 v3.0 Beta 9 版本中去除了动态密钥协商机制,采用预共享密钥,载荷全程无明文.因其优秀的加密传输特性,被攻击者广泛采用.冰蝎相较其它Webshell管理工具,具备如下优点:支持跨平台运行.多采用加密传输.版本更新频繁等.目前冰蝎已更新到2021.4.20 v3.0 Beta 9 ,新版本增加了Java内存马注入.支持多种Web容器.反向DMZ等功能.  2.实验 通过获取内网中的主机sh

Xenu 是一款深受业界好评,并被广泛使用的死链接检測工具. 时常检測站点并排除死链接,对站点的SEO 很重要,由于大量死链接存在会减少用户和搜索引擎对站点的信任,web程序开发者还可通过其找到死链接和訪问对应时间长的Url地址进行改进优化. 我们推荐的死链接检測工具 Xenu 主要具有下面特征: 须要下载安装,不到1M大小,用户界面很简洁,操作简单. 检測彻底:可以检測到图片.框架.插件.背景.样式表.脚本和 java 程序中的链接. 报告形式合理多样.死链接一目了然. 提供出现死链接的网页,

基于Python实现的死链接自动化检测工具   by:授客 QQ:1033553122 测试环境: win7 python 3.3.2 chardet 2.3.0 脚本作用: 检测系统中访问异常(请求返回code值非200)的链接 使用方法: 1. 配置 编辑deadLinkDetection\conf\init.conf 配置项如下 protocol:协议,比如https, http host:主机.域名,如192.168.1.3 port:端口号,比如 80, 8080, 443 usern

EgretWing链接微信开发工具调试问题 EgretWing 编译器支持持三种调试模式,Node.js .Chrome .EgretWing 扩展开发. 开发过程中会遇到工具配置错误. 这就需要在EgretWing中的配置文件launch.json重新配置工具路径. 创建Egret项目debugTest [Egret 2D 项目向导] 创建项目完成,在.wing文件夹下launch.json配置debug信息. 如上图: { "version": "0.2.0",

有些项目尤其是WinForm或者是WPF项目,针对一些工具形式的小项目,不想软件流出去之后,懂程序的的拿到手之后一看配置文件就知道了我们数据库的用户名和密码,如果外网能访问的话,那就麻烦大了.所以这里为了防止项目外泄之后这些信息不被别人看到,我们就需要对链接字符串或者其他重要信息进行加密,用的时候在解密. 思路:使用两个数对连接字符串进行加密,再用这两个数进行解密. <add key="ConfigString" value="4HsXBRNXTkeN0ZoKdEwFE

 数据库可视化工具Navicat 1 基本操作: 1 库 表 字段 记录(增删改查) 2 添加主建,添加自增. 3 添加外键,外键的链接 4 模型建表,模型添加外键.(逆向数据库到模型,运行SQL文件导入SQL数据,导入时注意字符编码) 5 新建查询,美化SQL语句.注释方法于pycharm相同. Pymysql 模块的使用 1 下载安装pymsql模块. 2 基本参数配置 conn=pymysql.connect( host='127.0.0.1', port=3306, user='root

#1. 如何使用静态库 制作静态库 (1)gcc *.c -c -I../include得到o文件 (2) ar rcs libMyTest.a *.o 将所有.o文件打包为静态库,r将文件插入静态库中,c创建静态库,不管库是否存在,s写入一个目标文件索引到库中,或者更新一个存在的目标文件索引.mv libMyTest.a ../lib 将静态库文件放置lib文件夹下nm libMyTest.a 查看库中包含的函数等信息 第一种方法:gcc + 源文件 + -L 静态库路径 + -l静态库名 +

安装:MAC环境下使用brew进行安装      brew  install  httping 使用参数: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 -g url url (e.g. -g http://localhost/) -h hostname hostname (e.g

一.如果没有brew,先安装brew. 安装命令如下:curl -LsSf http://github.com/mxcl/homebrew/tarball/master | sudo tar xvz -C/usr/local --strip 1 二.安装:MAC环境下使用brew进行安装      brew  install  httping 使用参数: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27

本文中xray高级版shiro payload来源于雷石安全实验室公众号发布的shiroExploit.jar 感谢雷石安全实验室,雷石安全实验室牛逼 本文主要描述如何从shiro的payload中提取有效payload.该方法适合从各种java反序列化漏洞中提取payload 0x01 前言 某日小伙伴发来雷石安全实验室的shiro利用工具,据称payload提取自xray.利用如下 0x02 反编译雷石利用工具 首先拖入idea中反编译,查看如何利用payload.代码如下 t是遍历数组的下

Java学习之AWT GUI编程 0x00 前言 既然前面提到了要重写冰蝎和一些反序列化工具,当然就不能随便说说而已.在编写这些工具还是要使用图形化工具来的方便一些,所以提前把GUI的框架给学习一遍. 其实重写webshell工具这个也就是实现部分,现在就差个gui框架. 这里其实是已经完善了单向加密和双向加密的功能,并且服务端aes动态密钥加密也写好了,且可以定义128和256位aes的加密. Java安全之JSP动静态免杀思路实现与服务端编写 0x01 AWT概述 当 JDK 1.0发布时,

打开tomcat管理页面http://192.168.49.2:8080/manager/html,输入弱密码tomcat:tomcat,即可访问后台 先将jsp大马压缩为zip,再将zip后缀改名为war,然后上传war包 冰蝎链接

1. 前言 Shiro 是 Apache 旗下的一个用于权限管理的开源框架,提供开箱即用的身份验证.授权.密码套件和会话管理等功能. 2. 环境搭建 环境搭建vulhub 3. 如何发现 第一种情况 返回包中包含rememberMe=deleteMe这个字段 第二种情况 直接发送原数据包,返回的数据中不存在关键字 可以通过在发送数据包的cookie中增加字段: rememberMe=deleteMe 然后查看返回数据包中是否存在关键字. 4. 自动检测Shiro反序列化之burp插件 https