Github投毒分析

ivi

RabbitQ 天幕安全团队 2023-08-15 23:32 发表于北京

今天看到团队有兄弟说github上有个exp像是有问题，刚刚就给他下载下来看了看了一下，以下是分析过程（不会逆向，正在学习，简单的看一下，不一定对）：

先把东西下载下来，发现有一堆文件，其中有个jar包，拖到反编译工具里面看一下：



大概是这么个结构，翻翻里面的代码看看：



这里有个贼长的数组，因为我这正好之前分析别的东西，弄了个代码把数组给他提出来了，然后写了个class文件，工具类贴一下

1. byte[] byteArray = ;// 这里是你的字节数组
   
2.                 FileOutputStream outputStream = null;
   
3. 
   
4.         try {
   
5.             outputStream = new FileOutputStream("test.class");
   
6.             outputStream.write(byArray);
   
7.         } catch (IOException e) {
   
8.             e.printStackTrace();
   
9.         } finally {
   
10.             if (outputStream != null) {
    
11.                 try {
    
12.                     outputStream.close();
    
13.                 } catch (IOException e) {
    
14.                     e.printStackTrace();
    
15.                 }
    
16.             }
    
17.         }

复制代码

用hex编辑器把这个文件打开看下

1. FC4883E4F0

复制代码

这玩意看着挺眼熟，仔细一想，cs和msf的不就是这个么，正好我还有个工具类，给他转成好


写个shellcode加载器，直接丢到vt，然后看一下运行的结果


emmm，翻了下威胁情报和资产测绘平台没啥东西，扫一下目标端口看看



emmm，初步判断好像是有问题