freeBuf
主站

分類

漏洞 工具 極客 Web安全 系統安全 網絡安全 無線安全 設備/客戶端安全 數據安全 安全管理 企業安全 工控安全

特色

頭條 人物志 活動 視頻 觀點 招聘 報告 資訊 區塊鏈安全 標準與合規 容器安全 公開課

官方公眾號企業安全新浪微博

FreeBuf.COM網絡安全行業門戶,每日發布專業的安全資訊、技術剖析。

FreeBuf+小程序

FreeBuf+小程序

斗象PRS-NTA&大圣云沙箱全面支持檢測冰蝎3.0 Beta7
2021-04-09 15:52:35

故事背景

最近紅藍軍演練時期,各路神仙大表哥各顯神通,各種操作讓人眼花繚亂。其中,加密流量尤其受紅隊喜愛,尤其是“冰蝎3.0”。目前市面上大部分解決方案是基于流量進行檢測,加密流量只需要做微小的改動,檢測方式就會失效,往往等內網淪陷,才做出一些被動的響應。面對0day及其他未知威脅,防守方真的只能坐以待斃嗎?


冰蝎3.0的前世今生

"冰蝎"是一個動態二進制加密網站管理客戶端。在實戰中,第一代webshell管理工具"菜刀"的流量特征非常明顯,很容易就被安全設備檢測到?;诹髁考用艿膚ebshell變得越來越多,"冰蝎"在此應運而生。最新版的冰蝎Shell管理工具在整個交互過程都采用加密傳輸,相比于2.0的版本,冰蝎3.0去除了協商密鑰的過程、新增內存馬注入、界面由swt改為javafx,殺傷力進一步擴大且不易清除。

4月8日更新的冰蝎3.0Beta7版本介紹


斗象科技能力中心團隊已在第一時間對冰蝎Behinder_v3.0 Beta 7進行流量分析、特征檢測。目前,斗象智能安全PRS-NTA產品或大圣云沙箱均可準確識別冰蝎v3.0 Beta 7及其變形的webshell。


分析過程

最新版本的冰蝎已不再使用使用密鑰協商機制,而是使用內置的密鑰進行加密傳輸,URI中也不再通過URI參數傳輸會話秘鑰??偨Y冰蝎在流量交互中的特征,主要可分為兩類:

  • 可繞過特征,這類特征攻擊者可通過構造報文進行繞過,致使設備檢測不到冰蝎 webshell 特征。

  • 非可繞過特征,攻擊者在某些情景無法更改 HTTP 某些字段,致使有固定報文字段可供設備檢測。

可繞過特征

1.Accept字段

冰蝎中使用的Accept字段與常規瀏覽器使用的不同,且每次請求使用的Accept內容都相同。但攻擊者可修改請求頭來繞過,不能作為關鍵的檢測字段。

2.UserAgent字段

冰蝎中內置了25條User-Agent,每次連接 shell 會隨機選擇一個進行使用。如果發現歷史流量中同一個源IP訪問某個URL時,命中了以下列表中多個 UserAgent ,可基本確認為冰蝎特征。但攻擊者可修改請求頭來繞過。

3.長連接

冰蝎通訊默認使用長連接,避免了頻繁的握手造成的資源開銷。默認情況下,請求頭和響應頭里會帶有 Connection。Connection: Keep-Alive

02 不可繞過特征

1. URI中包括可執行腳本文件

Webshell常見的腳本文件后綴為.php/.aps./.jsp/.jspx/.aspx/等

2. 較長的base64編碼的請求包

在加密通訊時,php/jsp shell 會提交base64編碼后的請求數據,可以用正則進行base64的長度匹配

3.硬編碼的Cache-Control及Referer

冰蝎中內置請求頭Cache-Control,且Referer緊隨其后,可以通過匹配Cache-Control: max-age=0,并在其后關聯Referer字段,以降低誤報

4.請求頭不包含Accept-Encoding字段

通過分析,冰蝎的所有請求包中未包含Accept-Encoding字段,可以通過正則排除該字段。


總結規則

使用單個特征誤報較高,但多個特征配合使用可降低誤報,PRS搭配使用多個特征,進一步提升特征檢測的準確性。目前支持的檢測內容如下:


大圣云沙箱:即時可用

對于尚未安裝PRS-NTA產品或意圖提升對冰蝎3.0檢測精準度的甲方,可使用斗象科技提供大圣云沙箱服務。云沙箱集成了獨立webshell檢測引擎,采用機器學習與高級統計分析算法,能夠準確識別冰蝎v3.0 Beta 7及其變形的webshell,對抗有效高度混淆的webshell、自定義webshell等。

本文作者:, 轉載請注明來自FreeBuf.COM

# webshell檢測 # 紅藍軍演練 # 冰蝎 # 防守部署 # 加密流量檢測
被以下專輯收錄,發現更多精彩內容
+ 收入我的專輯
評論 按熱度排序

登錄/注冊后在FreeBuf發布內容哦

相關推薦
  • 0 文章數
  • 0 評論數
  • 0 關注者
文章目錄
登錄 / 注冊后在FreeBuf發布內容哦
收入專輯
四月天小说网