危险漫步博客
新鲜的“黑客思维”就是从全新的角度看待黑客技术,从更高的层面去思考;专注于黑客精神及技术交流分享的独立博客。
文章2289 浏览18791192

一次加密的ASPshell深入剖析

各位好久不见,这次给大家带来的是打造自己的ASPshell。事情的起因是好友HRay某日发了个shell给我,说功能不错。我就在本机打开看了一下,果然功能挺多。

除了一般目录的功能以外还有Mssql提权、Php、Aspx、Jsp侦探、SETSESSION(这个可以操作你在目标机器上的session信息)、单页代理(将网页做成代理)等,还有其他功能就不介绍了。不过用的时候发现了点问题,就是在打开登录界面时。居然有51的博客,而且图片看不了,这实在太别扭了,于是我就想修改下,这就开始了这次ASPshell修改之旅。

用NotepadH打开Asp木马,发现被加密了,在最上面显示:<%@ LANGUAGE= .Encode%>,是用系统自带的加密方式,这步解密比较容易。我们使用工具“ASP加密解密”,这个主要就是针对Encode这种加密方式的,将Asp木马放到一个文件夹中,然后点击“执行批量转换”就OK了。

我再次用Notepad++打开木马,可以看到<%@ LANGUAGE=.Encode%>部分已经没有了,但仍旧有加密的内容,所以我们还必须继续解密。

必须提一下,其实对于Asp类的加密,最终其实解密函数也是在文件之中,最终给系统识别的还是解密后的内容,而这部分内容基本上都是用execute来执行。理一下思路就是,Asp的加密是把代码加密成乱码,然后程序自己解密成系统可以识别的字符串,最后通过execute来执行这串字符。那么我们如何解密比较轻巧又快捷呢,这里我给大家提供一个方法。我们仔细阅读代码会看到execute(Unlin(chen)),其中chen是加密的字符串,Unlin是用来解密的。这样我们来找下这个解密函数。直接搜索Unlin,可以搜到代码。

其中我们的ASPshell代码被加密的其实只用两段,我使用的方法是,首先将chen的代码放到一个新的ASP文件中。

接着我们访问这个Asp文件。

这里的原理就是,让系统自己解密,然后通过response.write的方法来输出内容到页面上。可能有些人要说怎么会是乱码,其实不用担心,是因为有些代码被浏览器当做HTML标签内容被执行了,当我们查看源代码时就可以看到代码了。我们只要将代码复制回chen那,将那段覆盖掉就可以了。本来我以为大功告成了。

汗,其中每个数字是一个ASC码,我们可以将每个字符都还原,然后就会发现其中的内容,不过这样比较麻烦。我是采用和上面类似的方法,让系统自己识别和显示出来。

查看解密结果代码为,怎么会调用外部的JS,而且还是3322的,我们跟踪下这个代码,搜寻samurl,发现出现在“<br><font color=red>"&CMD&""&samurl&."</font><br><br>”这个地方是用来提权的,出现这里,这个JS代码肯定没用,也就是说是用来做后门之类的,当然我没去跟踪那个JS代码,这也只是猜测。不过这段代码肯定是没用的,我们直接清除掉,留空即可,可以改成:samurl=""。而那个surl,也是一样的玩意,同样留空。接下来看一下代码,基本上搞定了,不过别忘了,我们是为了修改掉那个登录图片才解密的。

这段就是通过css方式把背景改了,我们直接删除吧!当删除这段代码后再次访问,嘿嘿,已经没有那个烦人的图片了。

到此就结束了吗?还没有呢,记得开始那个samurl吗?我们猜测是后门之类的,那我们再仔细看一下。这里我给大家提供一个检测后门的方法,使用MAXTHON,然后我们点击“工具”>“网页嗅探器”,在嗅探文件类型处选择“所有文件”,然后点击确定。

接着我们访问ASPshell的地址,输入密码后登入。我们再次点击“工具”>“网页嗅探器”,我们看到。这时候就能看到我们提交密码后所访问到的界面,如果这里有访问到别的网页,甚至把我们的密码和网址提交出去了,那么就可以确定有后门了。但这里我们可以看到都是访问到本地的,所以说明这里是没有后门的。

但整个ASPshell就没有后门吗?我们再看下代码。哈哈,总算被我抓到了!这里就是留的一句话后门了,不晓得是作者留的还是别人,可能前面的会记录访问的来源,然后通过这个一句话后门就可以成功登陆别人的shell了,而且他人在登录时不会被发现,留后门人的思路还是比较巧妙的。

接下来就是修改一些自己想要的内容了,我们可以修改成自己的专版之类的,这方面我就不多说了。还记得前面我说的Aspx探测功能吗。

这里是先生成该文件,然后访问,由于感觉代码不够好。

加入了"<"+"%Response.Write(""恭喜,服务器支持aspx,By EchoEye"");%"+">”)提示,这样会显示的更加清楚。

当然大家也可以根据自己的需要把Shell功能加强,而且代码已经解密大家可以根据自己的需要进行加密来躲避杀软。好了这次就介绍到这里,各位脚本小子,加油啦!