哥斯拉实现meterpreter分析

chenqiang

原文链接：哥斯拉实现meterpreter分析

哥斯拉version:1.0

CryptionHP_XOR_BASE64

这里分析的php首先定位到shells/plugins/php/assets/Meterpreter.class

1. * 先获取对于payload类型，然后从对应payload目录下读取反弹meterpreter的payload文件 （对应路径：plugins/<scriptname>/assets）
   
2. * 调用对应payload里的include函数
   
3. * include函数调用evalFunc，发送POST请求调用大马里的includeCode函数

复制代码

调用对应payload里的include函数

通过get函数获取到$parameter数组里对应的binCode和codeName的value，最后写在session里（将反弹meterprter的payload拼接写到存大马的session文件里）

抓包如下

之后点击Go Button后触发GoButtonClick事件

发送POST请求调用大马里对应的run函数

Run函数

获取传送过来的数据做好好下步划分的准备

判断是否要进行bypass_open_basedir

调用evalFunc函数执行反弹meterprter的code

就是eval($_SESSION["Meterpreter"])

抓包如下
第二个PHPSESSIONID对应$_SESSION["meterpter"]