专栏名称: 菜鸟学信安

每天60分钟，零基础入门信息安全。分享从入门，进阶技巧，大牛经验等技术文章，以及网络安全工具资源、精选课程、视频教程及学习资料。

一种新型内核马/WebShell

菜鸟学信安 · 公众号 · · 2024-02-02 08:30

正文

项目简介

@veo师傅研究的一个全链路内存马系列（ebpf内核马、nginx内存马、WebSocket内存马）。

注意：本项目不含有完整的利用工具，仅提供无害化测试程序、防御加固方案，以及研究思路讨论。

技术原理

ebpf内核马：通过ebpf hook入/出口流量，筛选出特定的恶意命令，再通过hook execve等函数，将其他进程正常执行的命令替换为恶意命令，达到WebShell的效果。

技术特点

无进程、无端口、无文件（注入后文件可删除）执行命令不会新建shell进程，无法通过常规行为检测将WebShell注入内核，无法通过常规内存检测可改造内核马，适配HTTP协议以外的所有协议

技术缺点

内核版本需要大于4.15.0，即 Ubuntu 16、CentOS 8命令不是直接执行，需要等待其他进程执行命令无回显

使用方式

下载测试程序 releases 并运行

POST veo=/bin/touch /tmp/pwn

研究中遇到的问题

1. 为什么不通过ebpf直接执行命令

根据ebpf的编写规则，ebpf自己是不能执行命令的，它只能hook各种函数。所以有两种方法可以间接达到执行命令的效果

自己开一个进程，ebpf通过ebpf map传输命令参数到这个进程，通过这个进程执行命令监听其他进程执行的命令，将其修改为恶意命令参数

2. 怎么通过ebpf识别HTTP报文

XDP是读不到报文内容的，所以最底层用TC格式化HTTP报文就可以，你需要算IP header、TCP header的长度等定位包体内容。另外ebpf有循环次数限制，所以最好payload是放在包体的开头或结尾

3. 怎么让ebpf脱离加载器在内核中持续运行，即使加载器程序退出

详细了解 eBPF 程序的生命周期，可参考

https://eunomia.dev/zh/tutorials/28-detach/

防御加固方案

通过bpftool可以检测出是否有ebpf恶意程序权限收敛，收敛SYS_ADMIN、CAP_BPF等权限确认 /proc/sys/kernel/unprivileged_bpf_disabled 为 1

项目地址：

https://github.com/veo/ebpf_shell

https://github.com/veo/nginx_shell

转载于潇湘信安。

下载地址

https://github.com/veo/ebpf_shell

https://github.com/veo/nginx_shell

推荐文章

beebee星球 · 过程

22 小时前

视觉志 · 七言 | 合群，不如合自己

15 小时前

舰大官人 · 肉身实测，就玄学研究来看，DeepSeek对于中华传统的玄学文化-20250128154733

昨天

beebee星球 · 把beebee星球喂给DeepSeek，我和DeepSeek都快疯了

2 天前

天玑-无极领域 · 最近一个月回撤11%，实盘3个月总收益20%；量化走势1：下跌期-20250125164232

4 天前

21世纪经济报道 · 【周末影院】复仇不是一条路，而是一座森林

8 年前

最搞笑笑话王 · 花公鸡吃了药后！妈呀，笑了我九十九次！

8 年前

闯先生 · 餐饮行业消费升级，机会到哪里去挖？

7 年前

天才宝宝育儿 · 女人醒醒吧，当妈哪有那么辛苦！！

7 年前

掌上武大 · 脱机自习 | 总有那么一两件事有付出就会有回报

7 年前