0x01 悬疑的安全事件

最近的一则新闻引起了我的注意。一家知名企业的网站被发现植入了一个隐蔽的Webshell，造成了大量敏感数据泄露。这让我想起了一些往事。在多年的红队行动中，我常常需要在目标系统中植入Webshell，实现持久化访问和数据窃取。随着安全防御技术的进步，Webshell免杀成为了穿透目标网络的一项关键技术。今天，我将分享一些我在真实攻击中使用的Webshell免杀技术，希望能为大家的安全测试提供一些启发。

0x02 实战环境搭建的秘密

在开始动手之前，我们需要一个可以实验的环境来测试我们的Webshell。我常用的配置是搭建一个包含Apache和Nginx服务器的虚拟环境，这样可以模拟不同类型的Web服务器场景。这对我后来的一次行动帮助很大。我在目标网络中发现了一台运行Nginx的服务器，这与我的实验环境完全匹配，这让我能够快速找到植入Webshell的最佳位置。

环境配置步骤

  1. 安装虚拟机管理软件：我个人偏好使用VirtualBox，因为它的配置简单，支持多种虚拟网络设置。
  2. 创建虚拟机：安装一个Ubuntu系统，用于搭建Web服务器。
  3. 安装Apache和Nginx：在Ubuntu中通过包管理工具完成安装。

    4. <pre><code class="language-shell"> sudo apt update sudo apt install apache2 sudo apt install nginx `

  4. 配置服务器：对于Apache，修改配置文件让它支持PHP；对于Nginx，则可以配置成反向代理。

这样我们就有了一个基础的实验环境，接下来可以开始Webshell的测试。

0x03 Payload构造的艺术

在构造Webshell时，我通常会考虑免杀的技术原理。关键在于如何让我们的Payload在上传时不被检测到，并且能够正常执行。在一次行动中，我成功构造了一个Ruby Webshell，它利用了目标系统未被充分检测的漏洞，逃过了安全设备的检测。

常见Webshell编写技巧

  • 代码混淆：为了避开静态检测，我通常会对Webshell代码进行混淆处理，把功能代码隐藏在复杂的变量名和无关代码中。
  • 异常处理：通过异常处理隐藏异常代码路径，让Webshell更难被发现。
  • 动态生成：使用动态代码生成技术，生成的Payload每次都不同，增加检测难度。

    • </code></pre>ruby

一个简单的Ruby Webshell例子

require 'socket' server = TCPServer.new('0.0.0.0', 8080)

黑客示意图

loop do client = server.accept input = client.gets.chomp

执行传入的命令，返回给客户端

output = #{input} client.puts(output) client.close end <pre><code> 这段代码展示了一个简单的Webshell，它监听8080端口，可以执行传入的命令。

0x04 绕过检测的技巧分享

在实际操作中，我发现很多检测系统对于流量异常的识别能力更强，对于编码的分析能力则相对较弱。这给了我灵感，通过修改流量的形态来绕过检测。例如，在一次行动中，我通过流量伪装成功绕过了目标系统的防御措施。

黑客示意图

绕过技巧总结

  • 流量伪装：改变流量的特征，例如使用HTTP流量伪装成普通的网页请求。
  • 编码转换：将Webshell的代码进行Base64或者其他编码转换，降低被静态检测识别的可能性。
  • 使用合法协议：在Webshell中使用合法的协议，减少异常流量的标记。

    • </code></pre>shell

示例：使用Base64编码方式传输数据

encoded_payload=$(echo -n "whoami" | base64) curl -X POST -d "payload=$encoded_payload" http://target.com/shell.php `

这种方式可以有效降低被检测的风险。

0x05 痕迹清除与防御对策

完成攻击后，我通常会进行痕迹清除，以防止被溯源。在一次行动中，由于没有及时清理日志，导致了我的行动暴露。因此，如何合理有效地清除攻击痕迹也是需要重点关注的。

黑客示意图

痕迹清除方法

  1. 清理日志：攻击后及时清理Web服务器的访问日志，以防止被追踪。
  2. 覆盖文件：通过覆盖技术删除被植入的Webshell。
  3. 伪造正常流量：在攻击后进行正常流量伪造，混淆实际攻击行为。

防御对策

  • 增强日志监控：提高对Web服务器日志的监控能力，及时发现异常行为。
  • 使用WAF：部署Web应用防火墙，加强对Webshell攻击的实时防护。
  • 定期安全检测：定期对网站进行安全漏洞扫描和代码审计。

0x06 个人经验分享

每次行动结束后，我总会反思自己在过程中有哪些可以改进的地方。通过不断总结经验，我逐渐形成了一套适合自己风格的免杀技术。这种思维方式让我在面对新的目标时可以快速制定攻击方案。

我的经验总结

黑客示意图

  • 灵活应变：在不同的环境下使用不同的免杀技术，始终保持思维的灵活性。
  • 持续学习：关注最新的漏洞和攻击技术，不断更新自己的攻击手段。
  • 团队合作：在复杂环境下，多与团队成员交流，集思广益提升攻击效果。

这是我的Webshell免杀技术心得，希望能给各位带来一些启发。请记住，技术的本质是用于合法授权的安全测试，切勿用于非法用途。