0x01 实战案例：一次关于Webshell的斗智斗勇

曾经有一次我接到任务，要对一个目标公司的网站进行渗透测试。这个网站的安全水平不容小觑，带有现代化的安全防护措施，比如WAF和实时的流量监控系统。在这样重重防护下，想要植入Webshell并不容易，但正因如此，挑战才更有意义。

我的目标是找到一种能够绕过防护的Webshell技术，以便在不触发任何警报的情况下获取服务器的完全控制权。在进行一番信息收集后，我决定从一种不常见的方式进行试探：通过伪造请求头的方式来绕过WAF的检测。

0x02 环境搭建：模拟真实场景

黑客示意图

在正式行动之前，我需要构建一个模拟目标网站的测试环境，以确保我的攻击不会在真实环境中失败。测试环境包括一个带有基本WAF的Web服务器，这样可以模拟目标网站的防御机制。

搭建步骤

  1. 选择合适的Web服务器

    2. 我选择了Apache服务器，因为它在目标企业中使用普遍。服务器配置了ModSecurity作为WAF。

  1. 配置WAF规则

    2. 我在ModSecurity中添加了一些规则，模拟常见的SQL注入和XSS攻击检测，以确保环境和真实场景尽可能相似。

  1. 虚拟机准备

    2. 使用VirtualBox创建一个Ubuntu虚拟机，安装Apache和必要的模块。

<pre><code class="language-bash"># 在Ubuntu上安装Apache和ModSecurity sudo apt update sudo apt install apache2 libapache2-mod-security2 -y

启用ModSecurity

sudo a2enmod security2 sudo systemctl restart apache2</code></pre>

通过上述步骤，我成功创建了一个如同目标网站般的防护环境，以验证我的Webshell免杀技术。

0x03 Payload构造的艺术：Webshell的隐藏术

为了绕过WAF，构造一个隐蔽性极高的Webshell是关键。通常，简单的Webshell会被WAF轻松识别并阻止。因此，我需要设计一种看似正常但能执行恶意代码的Payload。

Webshell设计思路

伪造请求头

通过篡改HTTP请求头来隐藏恶意代码，使其看起来像是正常的流量。这涉及将代码嵌入到不被重点监控的请求头字段中，例如User-Agent。

使用不常见编码

为了使Webshell在传输过程中不易被识别，我考虑使用Base64等编码对Payload进行多层次的混淆处理。

<pre><code class="language-go">package main

import ( &quot;encoding/base64&quot; &quot;fmt&quot; &quot;net/http&quot; &quot;strings&quot; )

黑客示意图

// 构造一个隐藏的Webshell，通过User-Agent头传输 func main() { code := &quot;echo base64_decode(&#039;ZWNobyAiaGVsbG8gd29ybGQiOw==&#039;);&quot; encoded := base64.StdEncoding.EncodeToString([]byte(code)) req, _ := http.NewRequest(&quot;GET&quot;, &quot;http://target.com&quot;, nil) req.Header.Set(&quot;User-Agent&quot;, fmt.Sprintf(&quot;Mozilla/5.0 (Linux; U; Android 4.0.3) AppleWebKit/534.30 (KHTML, like Gecko) Version/4.0 Mobile Safari/534.30; %s&quot;, encoded))

client := &amp;http.Client{} resp, err := client.Do(req) if err != nil { fmt.Println(&quot;请求失败:&quot;, err) return } defer resp.Body.Close()

fmt.Println(&quot;请求成功, 响应状态:&quot;, resp.Status) }</code></pre>

上面的代码将PHP代码通过Base64编码后附加在User-Agent头中，发送请求到目标服务器。这样可以避免WAF对请求内容的直接拦截。

0x04 绕过技巧：如何做到无声无息

在实际攻击中，绕过WAF和安全检测系统的关键在于：让你的攻击看起来像正常的流量。这里有几种有效的技巧：

黑客示意图

技巧一：混淆与解码

将Payload进行多层次的编码或加密，以迷惑检测机制。除了Base64，还可以尝试Hex编码等。

技巧二：动态内容生成

在请求中使用动态生成的内容，使检测机制难以识别。例如，将时间戳或随机数与编码后的Payload结合。

技巧三：细粒度控制

通过控制请求的包大小和频率来避免触发流量异常警报。

<pre><code class="language-shell"># 使用curl发送伪造请求头，确保正常浏览器行为 curl -H &quot;User-Agent: Mozilla/5.0 (Linux; U; Android 4.0.3) AppleWebKit/534.30 (KHTML, like Gecko) Version/4.0 Mobile Safari/534.30; ZWNobyAiaGVsbG8gd29ybGQiOw==&quot; http://target.com</code></pre>

0x05 掩盖痕迹：规避检测的策略

植入Webshell后，最重要的步骤是掩饰你的足迹，确保服务器管理员无法轻易发现异常。

日志清理

如果有权限访问服务器，可以在成功植入后清理日志。这需要对服务器日志格式有一定了解。

反向代理与流量混淆

通过配置反向代理，将流量伪装成合法请求。或者通过流量混淆技术让管理员无法区分攻击流量与正常流量。

<pre><code class="language-shell"># 清理Apache日志中的特定访问记录 sed -i &#039;/target.com/d&#039; /var/log/apache2/access.log</code></pre>

0x06 个人经验：实战总结与反思

在这次渗透测试中，我体会到了Webshell免杀技术的复杂与细致。通过伪造请求头和编码混淆，我成功绕过了目标公司的WAF。不过，这种技术仅限于授权的安全评估，任何非法使用都可能导致严重的法律后果。

这次的经验让我意识到，攻击者的每一步都需要周密的计划和反复的测试。即使再强大的防御系统，也永远不是彻底安全的。作为安全研究员，我始终坚持在合法的框架内进行研究，并不断提升安全意识，以帮助企业更好地保护自己的数字资产。