冰蝎Behinder_v4.0

忘是亡心i 2023-09-26 11:01 52阅读 0赞

### 目录 ###

*  一、冰蝎4.0☕️
 *  二、流量特征问题☕️
 *  三、工作流程☕️
 *  四、演示过程☕️
 *  五、流量检测☕️

--------------------

# 一、冰蝎4.0☕️ #

冰蝎是一款`基于Java开发`的动态加密通信流量的新型Webshell客户端，由于通信流量被加密，传统的WAF、IDS 设备难以检测，给威胁狩猎带来较大挑战。冰蝎其最大特点就是对交互流量进行对称加密，且加密密钥是由随机数函数动态生成，因此该客户端的流量几乎无法检测

同时冰蝎v4.0相对于3.0版本，更新了较多内容，其中包括了开放了传输协议的自定义功能

下载地址：`https://github.com/rebeyond/Behinder/releases`

# 二、流量特征问题☕️ #

在流量层，冰蝎的aes特征一直是厂商查杀的重点，在主机层，aes相关的API也是一个强特征。既然是特征，那就一定存在一个一成不变的常量，那我们就把这个特征泛化一下，让他成为变量。为了一劳永逸解决这个问题，v4.0版本提供了`传输协议自定义`功能，让用户对流量的加密和解密进行自定义，实现流量加解密协议的去中心化。v4.0版本不再有连接密码的概念，你的自定义传输协议的算法就是连接密码

# 三、工作流程☕️ #

看一下冰蝎Payload流转的流程图：

![在这里插入图片描述][1b13f06aa128468380a925783656eac3.png_pic_center]

1、本地对Payload进行加密，然后通过POST请求发送给远程服务端；  
2、服务端收到Payload密文后，利用解密算法进行解密；  
3、服务端执行解密后的Payload，并获取执行结果；  
4、服务端对Payload执行结果进行加密，然后返回给本地客户端；  
5、客户端收到响应密文后，利用解密算法解密，得到响应内容明文。

由上述流程可知，一个完整的传输协议由两部分组成，`本地协议和远程协议`。由于客户端使用Java开发，因此本地协议的加解密算法需要用Java实现。远程协议根据服务端语言类型，可能为Java、PHP、C\#、ASP。无论用哪种语言，同一个名称的传输协议，本地和远程的加解密逻辑应该是一致的，这样才能实现本地加密后，远程可以成功解密，远程加密后，本地同样也可以解密（因此如果修改默认的aes协议的key，则需要同时修改本地和远程的加密函数和加密函数中的key）

一个传输协议必须包含一对本地加解密函数，至少包含一对远程加解密函数（Java、PHP、C\#、ASP中的一个或者多个）

如下是传输协议中的`本地加解密`函数与`远程加解密`函数：

![在这里插入图片描述][42b3c5ff92f34df6a854c52260cb2a07.jpeg_pic_center]

传输协议的加解密函数名称分别为`Encrypt`和`Decrypt`，且都只有一个入参，参数类型为二进制字节流。在函加密数体内可以对字节流做任何加密，比如aes、rsa或者各种封装、拼接、自定义算法等等，最终将加密结果返回。在解密函数中利用对称算法将加密函数的结果进行解密，并将解密结果返回

# 四、演示过程☕️ #

可以注意到，冰蝎v4.0版本没有再附带server端代码，因为加解密函数是不固定的，因此服务端也是动态生成的

命令行环境运行冰蝎

java -jar Behinder.jar

![在这里插入图片描述][72052345c3204be2881c562e6ca09f03.png_pic_center]

打开如下的GUI界面

![在这里插入图片描述][3fbcb25aacee4fbf97664b3abc006b79.png_pic_center]

生成木马，点击左上角的传输协议，然后选择`default_aes协议`，点击生成服务端，即可创建server服务端文件，同时生成木马文件

为了方便加解密一致性校验，冰蝎提供了即时加解密验证功能，输入加解密函数以后，可直接在窗口下方进行验证

![在这里插入图片描述][b19edfec2473406d8a94f8fde70293f1.png_pic_center]  
生成server服务端文件里面的木马

![在这里插入图片描述][bfed09de86c2481eb067322e3b99fc67.png_pic_center]

将生成的`PHP木马文件`上传到PHP环境的网站，然后在工具页面，鼠标右击新增shell，确定木马文件上传的URL、上传的脚本类型、生成脚本的协议，保存即可

![在这里插入图片描述][c9a2feda66bc49b39b3c0998f4f52dfb.png_pic_center]  
成功连接则显示已连接

![在这里插入图片描述][1f3b4d97e2114331af8b64f9ccf23d87.png_pic_center]  
这里新增的功能，认为也是比较好的，`平行空间`，同时也有一些扩展功能

![在这里插入图片描述][044696d37ab04757be683e5668c31916.png_pic_center]

# 五、流量检测☕️ #

**1、Accept字段**  
流量特征  
`Accept: application/json, text/javascript, */*; q=0.01`

![在这里插入图片描述][4a9d8d0057834105802c6639896b3a8c.png_pic_center]  
检测思路：  
 浏览器可接受任何文件，但最倾向application/json 和 text/javascript

**2、Content-Type**  
流量特征

`Content-type: Application/x-www-form-urlencoded`

检测思路：  
 可以把这个字段作为一个弱特征，辅助其他特征来检测

**3、User-agent 字段**  
流量特征

冰蝎设置了10种User-Agent，每次连接shell时会随机选择一个进行使用  
![在这里插入图片描述][967f26f313614cb98ba8902bad50c78d.png_pic_center]  
检测思路：  
 在较短较简单的content字段后加上fast\_pattern关键字则会优先匹配这个content，避免浪费太长时间在匹配user-agent上

snort编写可以用content：“User-Agent”；content：“浏览器版本”，来匹配相应的十个浏览器

**4、端口**  
流量特征

冰蝎与webshell建立连接的同时，javaw也与目的主机建立tcp连接，每次连接使用本地端口在49700左右(就是比较大的端口)，每连接一次，每建立一次新的连接，端口就依次增加

检测思路：  
 可以对符合该范围内的端口告警

**5、PHP webshell 中存在固定代码**  
流量特征

$post=Decrypt(file_get_contents("php://input"));
    eval($post);

检测思路：  
 content字段中，将eval($post)作为流量特征纳入

**6、长连接**  
流量特征

冰蝎通讯默认使用长连接，避免了频繁的握手造成的资源开销。默认情况下，请求头和响应头里会带有 Connection

`Connection: Keep-Alive`

![在这里插入图片描述][c2ca76c043cc4c938ed9c24228c504c2.png_pic_center]  
检测思路：  
 可以作为辅助的流量特征

**7、连接密码**  
流量特征：

默认时，所有冰蝎4.0 webshell都有`e45e329feb5d925b` 一串密钥，该密钥为连接密码32位md5值的前16位，默认连接密码rebeyond

**8、webshell特征**  
JSP webshell代码特征

![在这里插入图片描述][b6808c3ec47c48e2aa83bca50583e201.png_pic_center]  
PHP webshell代码特征

![在这里插入图片描述][604ad89f3c514ed6af72c6bf7f210679.png_pic_center]

**9、请求和响应**  
流量特征  
![在这里插入图片描述][159b3086b27c461b8b035888143e8e15.png_pic_center]

**☕️参考文章：**

1、[冰蝎v4.0传输协议详解][v4.0]  
2、[冰蝎4.0特征分析及流量检测思路][4.0]

[1b13f06aa128468380a925783656eac3.png_pic_center]: https://img-blog.csdnimg.cn/1b13f06aa128468380a925783656eac3.png#pic_center
[42b3c5ff92f34df6a854c52260cb2a07.jpeg_pic_center]: https://img-blog.csdnimg.cn/42b3c5ff92f34df6a854c52260cb2a07.jpeg#pic_center
[72052345c3204be2881c562e6ca09f03.png_pic_center]: https://img-blog.csdnimg.cn/72052345c3204be2881c562e6ca09f03.png#pic_center
[3fbcb25aacee4fbf97664b3abc006b79.png_pic_center]: https://img-blog.csdnimg.cn/3fbcb25aacee4fbf97664b3abc006b79.png#pic_center
[b19edfec2473406d8a94f8fde70293f1.png_pic_center]: https://img-blog.csdnimg.cn/b19edfec2473406d8a94f8fde70293f1.png#pic_center
[bfed09de86c2481eb067322e3b99fc67.png_pic_center]: https://img-blog.csdnimg.cn/bfed09de86c2481eb067322e3b99fc67.png#pic_center
[c9a2feda66bc49b39b3c0998f4f52dfb.png_pic_center]: https://img-blog.csdnimg.cn/c9a2feda66bc49b39b3c0998f4f52dfb.png#pic_center
[1f3b4d97e2114331af8b64f9ccf23d87.png_pic_center]: https://img-blog.csdnimg.cn/1f3b4d97e2114331af8b64f9ccf23d87.png#pic_center
[044696d37ab04757be683e5668c31916.png_pic_center]: https://img-blog.csdnimg.cn/044696d37ab04757be683e5668c31916.png#pic_center
[4a9d8d0057834105802c6639896b3a8c.png_pic_center]: https://img-blog.csdnimg.cn/4a9d8d0057834105802c6639896b3a8c.png#pic_center
[967f26f313614cb98ba8902bad50c78d.png_pic_center]: https://img-blog.csdnimg.cn/967f26f313614cb98ba8902bad50c78d.png#pic_center
[c2ca76c043cc4c938ed9c24228c504c2.png_pic_center]: https://img-blog.csdnimg.cn/c2ca76c043cc4c938ed9c24228c504c2.png#pic_center
[b6808c3ec47c48e2aa83bca50583e201.png_pic_center]: https://img-blog.csdnimg.cn/b6808c3ec47c48e2aa83bca50583e201.png#pic_center
[604ad89f3c514ed6af72c6bf7f210679.png_pic_center]: https://img-blog.csdnimg.cn/604ad89f3c514ed6af72c6bf7f210679.png#pic_center
[159b3086b27c461b8b035888143e8e15.png_pic_center]: https://img-blog.csdnimg.cn/159b3086b27c461b8b035888143e8e15.png#pic_center
[v4.0]: https://mp.weixin.qq.com/s/EwY8if6ed_hZ3nQBiC3o7A
[4.0]: https://mp.weixin.qq.com/s/VCfME6r52M33VCvosOmS9Q