Webshell篇&魔改冰蝎&打乱特征指纹&新增加密协议&过后门查杀&过流量识别

实战场景：

某X60全家桶下的Web环境，Webshell植入后的渗透测试对抗情况。

准备：

1、环境准备-单机系统&杀毒产品&流量产品

2、反编译打包环境-IDEA安装&反编译工具

引出问题：

1、webshell工具里面的后门代码不被杀毒检测到-混淆

2、webshell工具里面的功能操作不被杀毒拦截到-魔改

3、webshell工具里面的操作连接不被平台捕获到-魔改

通过对冰蝎的数据包分析：

1、请求数据包头的两个强特征

2、已知数据的提交内容加密算法

流量平台设备可以分析数据包的两个强特征

提交数据进行默认算法解密去分析是否为冰蝎攻击连接

解决1：绕过识别（魔改打乱特征，新增加密算法）

解决2：绕过查杀（魔改打乱特征，新增加密算法）

#魔改冰蝎-JAR反编译打包构建

1、反编译Jar

https://www.decompiler.com/

IDEA反编译：

java -cp IDEA_HOME/plugins/java-decompiler/lib/java-decompiler.jar  org.jetbrains.java.decompiler.main.decompiler.ConsoleDecompiler -dgs=true <src.jar> <dest dir>

2、新建lib，添加源码

lib存放工具项目，添加反编译源码

3、新建项目，配置构建

设置项目SDK，添加依赖，添加工件主类

#魔改冰蝎-防识别-打乱特征指纹

1、标题版权修改：

Constants.java

2、指纹特征修改：

ShellService.java

accpet字段

User-agent字段

Content-type字段

#魔改冰蝎-防查杀-新增加密协议

1、后门本地传输协议

如何写加解密：chatgpt

例子：https://xz.aliyun.com/t/12453

新建-填入-保存-分享-导入项目-构建编译

2、后门远程传输协议

其他语言如何写加解密：chatgpt