快上网专注成都网站设计 成都网站制作 成都网站建设
成都网站建设公司服务热线:028-86922220

网站建设知识

十年网站开发经验 + 多家企业客户 + 靠谱的建站团队

量身定制 + 运营维护+专业推广+无忧售后,网站问题一站解决

WvEWjQ22.hta木马反弹Shell样本的示例分析

小编给大家分享一下WvEWjQ22.hta木马反弹Shell样本的示例分析,相信大部分人都还不怎么了解,因此分享这篇文章给大家参考一下,希望大家阅读完这篇文章后大有收获,下面让我们一起去了解一下吧!

网站建设哪家好,找创新互联建站!专注于网页设计、网站建设、微信开发、小程序制作、集团企业网站建设等服务项目。为回馈新老客户创新互联还提供了景洪免费建站欢迎大家使用!

I 综述

重保晚上接到客户的电话,说检测到疑似攻击,请我进行应急处置溯源,无奈的我,只好从床上爬起来拿起笔记本。通过初步分析发现WvEWjQ22.hta执行了一个powershell进程,深入分析研判后发现流量经过2次Base64编码+1次Gzip编码,逆向分析调试解码出的ShellCode,为CS或MSF生成的TCP反弹Shell,最终溯源出攻击IP且结束Powershell进程和TCP反弹shell进程。

II 攻击手法

利用3次编码的WvEWjQ22.ht木马绕过态势感知系统检测预警 执行powershell进程反弹shell。

III 样本分析

WvEWjQ22.hta木马反弹Shell样本的示例分析

木马通过powershell执行命令

WvEWjQ22.hta木马反弹Shell样本的示例分析

WvEWjQ22.hta脚本使用powershell执行一段base64编码的PS脚本

WvEWjQ22.hta木马反弹Shell样本的示例分析

BASE64解码

WvEWjQ22.hta木马反弹Shell样本的示例分析

通过一段PS脚本对其进行BASE64+Gzip解码并将最终执行的脚本写到1.txt中

WvEWjQ22.hta木马反弹Shell样本的示例分析

解码出来的脚本主要就是申请内存,BASE64解码ShellCode加载执行

WvEWjQ22.hta木马反弹Shell样本的示例分析

将脚本中base64编码的shellcode保存到文件out.bin

WvEWjQ22.hta木马反弹Shell样本的示例分析

调试解码出的ShellCode,ShellCode为CS或MSF生成的TCP反弹Shell。上线IP:112.83.107.148:65002

IV 处置

结束powshell进程和TCP反弹Shell进程。

以上是“WvEWjQ22.hta木马反弹Shell样本的示例分析”这篇文章的所有内容,感谢各位的阅读!相信大家都有了一定的了解,希望分享的内容对大家有所帮助,如果还想学习更多知识,欢迎关注创新互联行业资讯频道!


网页名称:WvEWjQ22.hta木马反弹Shell样本的示例分析
标题网址:http://6mz.cn/article/psspho.html

其他资讯