1. 项目概述从加密流量到明文真相在网络安全攻防演练或应急响应中我们经常会遇到一个棘手的问题攻击者使用的WebShell管理工具其通信流量往往是加密的。当你用Wireshark抓取到一堆TCP或HTTP数据包看到的全是乱码或密文时常规的流量分析手段就失效了。这就像拿到一个上了锁的保险箱你知道里面有秘密却不知道钥匙在哪。今天要聊的就是如何找到这把“钥匙”亲手打开“哥斯拉”Godzilla4.0 WebShell的加密流量让隐藏在密文背后的命令执行、文件操作等行为一览无余。哥斯拉是一款在攻防对抗中非常活跃的、功能强大的WebShell管理工具。它的4.0版本在通信加密上做了不少改进默认使用AES或XOR等算法对传输的Payload进行加密这给防守方的流量监测和分析带来了巨大挑战。单纯依靠特征匹配或已知规则很难有效检测其活动。因此掌握手动解密其流量的能力对于深入分析攻击行为、提取攻击指纹、甚至进行溯源反制都至关重要。这篇文章不是泛泛而谈的理论而是一份实打实的“战地手册”。我会带你走一遍完整的流程从如何捕获到可疑的哥斯拉流量包到定位关键的加密密钥再到利用Wireshark的Lua脚本或外部工具进行解密最后对解密后的明文流量进行样本分析。整个过程我会穿插我踩过的坑和总结的技巧目标是让你看完就能上手操作下次再遇到类似的加密WebShell流量心里有底手上有招。2. 核心思路与前置知识准备2.1 为什么Wireshark能解密原理与局限Wireshark本身是一个强大的协议分析器但它并不自带所有加密协议的密钥。它的解密能力建立在两个基础上一是支持某些标准协议如TLS/SSL的密钥日志文件SSLKEYLOGFILE导入二是其开放的Lua脚本扩展接口允许用户自定义解密逻辑。对于哥斯拉这种自定义的、非标准协议的加密我们主要依赖后者。核心思路是“旁路解密”。我们并不去破解AES或XOR算法本身那是密码学家的事而是想办法从攻击流程的某个环节“拿到”或“推导出”加密密钥。一旦有了密钥和算法我们就能在Wireshark这个“旁路”上对已经捕获的流量包进行解密还原。这通常需要结合其他分析手段比如内存取证如果能在受攻击的服务器上获取到WebShell运行时的内存镜像有可能从中提取出驻留在内存中的密钥。日志与配置分析分析WebShell文件本身或服务器上的相关日志寻找硬编码或动态生成的密钥线索。客户端模拟与调试如果获取到了攻击者使用的哥斯拉客户端JAR文件可以通过反编译、动态调试等方式追踪密钥的生成和使用过程。这里必须明确一个关键点我们讨论的解密前提是已经通过某种方式获得了加密密钥和算法参数。本文的重点在于“如何利用已知密钥在Wireshark中实现解密和可视化分析”而不是“如何破解哥斯拉的加密”。这是两个不同层面的问题。2.2 实战环境与工具清单在开始动手前你需要准备好以下环境。我建议在一个隔离的虚拟机或实验网络中进行避免对生产环境造成影响。Wireshark版本建议3.6以上。确保安装完整包含Lua支持默认安装通常包含。哥斯拉样本你需要一个哥斯拉的WebShell服务端一个JSP/PHP/ASPX等脚本文件和对应的客户端通常是一个JAR可执行文件。请仅在授权的测试环境中使用。加解密验证工具用于验证密钥和算法的正确性。例如使用Python的cryptography库或在线AES工具仅用于测试数据进行快速验证。文本编辑器/IDE用于编写和修改Lua脚本推荐VSCode、Notepad等。网络环境一个可控的网络方便你部署WebShell并捕获其与客户端之间的通信流量。注意法律与道德红线所有技术操作必须在合法授权和合规的环境下进行。未经授权对他人系统部署WebShell、抓取或解密他人网络流量是违法行为。本文所有内容仅用于安全研究、教学和授权测试。3. 捕获流量与定位关键信息3.1 精准捕获哥斯拉通信流解密的第一步是拿到一份“干净”的加密流量样本。胡乱抓包会引入大量无关流量增加分析难度。部署与监听在你的测试服务器上部署哥斯拉的WebShell服务端文件例如godzilla.jsp。在服务器或网络网关位置启动Wireshark开始抓包。为了聚焦最好先设置一个捕获过滤器比如针对测试服务器的IP和常用HTTP端口如host 192.168.1.100 and tcp port 80。触发通信使用哥斯拉客户端连接你的WebShell执行一些典型操作例如获取基本信息、列目录、执行一个whoami命令。这些操作会产生具有代表性的请求和响应流量。停止并保存完成几个操作后停止Wireshark抓包并将抓包结果保存为godzilla_traffic.pcapng。这个文件就是我们后续分析的基础。实操心得在抓包前关闭其他不必要的网络应用减少背景噪音。执行操作时动作可以慢一点方便在Wireshark中通过时间戳关联操作与数据包。一个技巧是在客户端执行一个独特且易识别的命令比如echo “TEST_MARKER_$(date %s)”这样在流量中搜索这个字符串的密文或对应特征会更容易定位相关数据包。3.2 分析流量特征与定位载荷打开保存的pcapng文件即使看不懂内容我们也能通过一些特征来识别哥斯拉的流量。协议与应用识别哥斯拉通常通过HTTP/HTTPS协议通信。在Wireshark中找到与你的测试服务器IP交互的HTTP数据包流右键点击某个包 - 追踪流 - TCP流/HTTP流。观察载荷形态哥斯拉的请求客户端-服务端和响应服务端-客户端的Body部分通常不是明文的表单或JSON而是看起来像乱码或经过Base64编码的二进制数据实际上可能是加密后又做了编码。查看Content-Type有时可能是application/octet-stream或者看起来是普通表单但内容异常。使用Wireshark的“导出分组字节流”功能可以将某个TCP负载导出为原始二进制文件供后续分析。关键步骤寻找密钥这是整个解密流程中最具挑战性的一环。如前所述我们需要通过其他途径获取。一个常见的研究方法是分析哥斯拉客户端的Java代码。通过反编译工具如JD-GUI、CFR打开哥斯拉的JAR文件查找与加密相关的类如Crypto、AESUtil、XOR等。在代码中你可能会找到密钥的生成逻辑。请注意不同版本、不同配置的哥斯拉其密钥和算法可能不同。假设通过分析我们确定这个样本使用的算法是AES-128-CBC密钥Key是0123456789abcdef初始向量IV是fedcba9876543210并且密文在传输前经过了Base64编码。请务必用你的验证工具用这些参数尝试解密一个导出的载荷片段确认能成功解出可读的明文如一段XML或序列化数据这能极大避免后续步骤走弯路。4. 编写Wireshark Lua解密脚本获得可靠的密钥和算法参数后我们就可以为Wireshark编写一个自定义的解析器了。Lua脚本是扩展Wireshark功能的强大工具。4.1 Lua脚本基础结构与注册创建一个新文件命名为godzilla_dissector.lua。脚本的基本骨架如下-- godzilla_dissector.lua -- 描述用于解密Godzilla 4.0加密流量的Wireshark解析器 local godzilla_proto Proto(Godzilla, Godzilla Webshell Protocol) local key_field ProtoField.string(godzilla.key, Decryption Key) local iv_field ProtoField.string(godzilla.iv, Initialization Vector) local decrypted_field ProtoField.string(godzilla.decrypted, Decrypted Payload) godzilla_proto.fields { key_field, iv_field, decrypted_field } -- 这是主要的解析函数Wireshark会对每个匹配的数据包调用它 function godzilla_proto.dissector(buffer, pinfo, tree) -- 这里会填充我们的解密逻辑 -- buffer: 数据包缓冲区 -- pinfo: 数据包信息协议、端口等 -- tree: 协议树用于在UI中展示解析结果 end -- 将我们的解析器注册到HTTP协议的TCP端口例如80端口 local http_port DissectorTable.get(tcp.port) http_port:add(80, godzilla_proto)这段代码定义了一个名为“Godzilla”的新协议并准备将其绑定到TCP 80端口HTTP。接下来我们要在dissector函数中实现核心逻辑。4.2 实现AES-CBC解密逻辑我们需要在Lua脚本中实现AES解密。由于Lua标准库不直接包含AES我们可以利用Wireshark内置的C函数通过FFI调用系统加密库或者使用一个纯Lua的AES实现如lua-crypto库的移植。为了简化示例这里假设我们使用一个虚构的、已集成好的解密函数aes_decrypt_cbc(base64_ciphertext, key, iv)。实际的脚本核心部分会复杂很多需要处理HTTP报文解析、Base64解码、AES解密、解密后数据的解析等步骤。下面是一个高度简化的逻辑流程示意function godzilla_proto.dissector(buffer, pinfo, tree) -- 1. 检查是否是HTTP协议并且包含我们感兴趣的内容如特定URL或Content-Type if pinfo.cols.protocol ~ HTTP then return end -- 获取整个TCP负载即HTTP Body local tcp_stream buffer:range():string() -- 2. 这里需要编写逻辑从tcp_stream中提取出加密的Base64字符串。 -- 实际情况可能要从HTTP POST数据中提取可能需要解析multipart/form-data或raw body。 -- 假设我们通过某种方式如字符串匹配拿到了密文base64_str local base64_ciphertext extract_encrypted_payload(tcp_stream) -- 这是一个需要你实现的函数 if not base64_ciphertext then return end -- 如果不是哥斯拉流量就退出 -- 3. 定义我们从客户端分析中得到的密钥和IV实际应用中可以考虑从配置文件读取 local key 0123456789abcdef local iv fedcba9876543210 -- 4. 调用解密函数 local success, decrypted_text pcall(aes_decrypt_cbc, base64_ciphertext, key, iv) if not success then -- 解密失败可能是密钥不对或数据损坏 return end -- 5. 在Wireshark协议树中展示结果 local subtree tree:add(godzilla_proto, buffer(), Godzilla Decrypted Data) subtree:add(key_field, key) subtree:add(iv_field, iv) -- 将解密后的文本添加到树中。如果解密后是文本可以直接显示。 subtree:add(decrypted_field, decrypted_text) -- 6. 更新Wireshark的信息列便于快速浏览 pinfo.cols.protocol:set(Godzilla) pinfo.cols.info:prepend([Decrypted] ) end注意事项extract_encrypted_payload和aes_decrypt_cbc是两个需要你根据实际情况实现的关键函数。前者需要你精确分析哥斯拉流量的封装格式后者需要你集成可靠的AES解密库。密钥硬编码在脚本中并不安全也不灵活。更好的做法是将密钥作为Wireshark的偏好设置Prefs来配置这样可以在不修改脚本的情况下切换密钥。解密后的数据可能是二进制格式如Java序列化流直接以字符串形式显示可能是乱码。你可能需要进一步编写解析逻辑来解读这些二进制协议或者至少将其以十六进制形式显示方便人工分析。4.3 加载脚本与验证解密效果将编写好的godzilla_dissector.lua脚本文件放到Wireshark的插件目录或者通过Wireshark - 分析 - 启用Lua插件来临时加载。重新打开之前捕获的godzilla_traffic.pcapng文件。找到之前那些加密的HTTP数据包。如果脚本编写正确且密钥无误你现在应该能看到协议列显示为“Godzilla”并且点击数据包详情在协议层级中能看到一个“Godzilla Decrypted Data”的子树里面包含了密钥、IV和解密后的明文载荷。成功的关键标志在解密后的载荷中你能看到可读的、反映攻击指令的字符串例如cmd、path/etc/passwd、commandwhoami等哥斯拉协议中的字段。5. 解密后流量样本深度分析当流量被成功解密后真正的分析工作才刚刚开始。明文流量就像一本打开的日志记录着攻击者的每一步操作。5.1 协议结构与指令解析哥斯拉的通信协议通常基于一种自定义的封装格式。解密后的Payload早期版本可能是XML新版本可能采用了更紧凑的序列化方式如Java序列化或自定义二进制格式。你需要结合客户端代码理解其协议结构。一个简化的请求Payload可能包含以下字段type: 操作类型如cmd命令执行、file文件管理、db数据库操作。content: 具体的操作指令或参数例如{cmd:whoami}或{path:C:\\}。在Wireshark中你可以进一步编写Lua脚本将这些解密后的原始文本或二进制数据解析成更直观的字段在协议树中展示出来。例如将type和content分别作为独立的字段显示这样你无需展开整个解密文本就能一眼看出这个数据包是执行命令还是上传文件。5.2 攻击行为时间线重构利用Wireshark的时间戳和过滤功能你可以清晰地重构出攻击者的整个攻击链。过滤与排序在显示过滤器中输入godzilla你的协议名只显示解密后的哥斯拉流量。然后按照时间排序。行为序列化初始握手第一个或前几个包可能是密钥协商或会话建立如果协议有的话。信息收集攻击者通常会先执行pwd、whoami、ifconfig/ipconfig等命令来了解环境。横向移动通过解密后的流量查看是否尝试了内网扫描、连接其他主机等指令。数据渗出观察是否有大流量的数据包从服务器发往客户端这可能是在下载敏感文件如数据库备份、配置文件。持久化检查是否有创建计划任务、写入启动项等操作的指令。你可以将关键的数据包标记Mark Packet并添加注释CtrlAltM形成一份基于流量分析的攻击时间线报告。5.3 IOC入侵指标提取解密后的明文流量是提取高质量IOC的宝库。命令与参数攻击者使用的具体命令、脚本、工具路径如certutil、powershell下载命令。文件路径上传的WebShell路径、下载的内网工具路径、访问的敏感文件路径。网络信息攻击者尝试连接的内网IP、端口、域名。协议特征即使加密通信的节奏、数据包大小分布、特定指令序列也可能形成行为特征。明文化后可以提取更精确的字符串特征用于编写Snort/Suricata等IDS/IPS规则。例如你可以从流量中提取出攻击者使用的特定命令模板如powershell -enc base64_encoded_payload这个base64_encoded_payload的解码结果又可以作为新的IOC。6. 常见问题、排查技巧与进阶思路6.1 解密失败问题排查表问题现象可能原因排查步骤与解决方案脚本已加载但协议不显示“Godzilla”1. 端口绑定错误2. 流量识别逻辑不匹配3. 脚本存在语法错误1. 检查脚本中注册的端口(:add(80, ...))是否与抓包端口一致。尝试注册到更广的范围如http_port:add(0, godzilla_proto)临时测试。2. 在dissector函数开始处添加print(“Packet received on port:”, pinfo.src_port, “-”, pinfo.dst_port)调试输出确认函数被调用。检查extract_encrypted_payload逻辑是否能正确匹配你的流量格式。3. 检查Wireshark的“帮助 - 关于Wireshark - 文件夹”中的“个人Lua插件”目录查看是否有错误日志。协议显示为Godzilla但解密字段为空或乱码1. 密钥或IV错误2. 加密算法或模式不匹配3. 数据提取错误如Base64解码前有额外字符1.这是最常见原因。用已知的明文-密文对在独立的Python/Java脚本中验证你的密钥和算法。确保密钥长度如AES-128是16字节、IV长度与算法要求一致。2. 确认算法是AES-CBC还是AES-ECB是否有Padding如PKCS#7哥斯拉不同版本或配置可能不同。3. 检查从HTTP包中提取密文字符串的代码确保没有多抓或少抓字符。使用Wireshark的“导出分组字节流”功能将原始负载保存为文件用外部脚本逐步骤Base64 decode - AES decrypt验证。解密出的文本仍是乱码或不可读1. 解密成功但数据是二进制序列化格式2. 存在多层编码/加密1. 尝试将解密后的字节数组以十六进制形式显示。如果看到AC ED 00 05等魔数可能是Java序列化对象。需要进一步反序列化分析。2. 哥斯拉可能对数据先加密再Base64再封装。确保你的解密流程顺序正确。查看客户端代码确认其完整的编码链。性能极慢或Wireshark卡死Lua脚本解密逻辑效率低下处理大流量时阻塞UI1. 优化Lua代码避免在循环中进行昂贵的操作。对于大载荷可以考虑只解密前一部分用于协议识别。2. 考虑使用Wireshark的tap或listener机制在后台异步处理。对于深度分析建议将关键包导出用外部Python脚本批量解密更高效。6.2 进阶技巧与扩展思路动态密钥支持如果哥斯拉使用了动态密钥如每次会话协商你的Lua脚本需要能捕获并存储这些密钥。这可能需要在脚本中维护一个会话表session_table以客户端IP和端口为键存储该会话的密钥。密钥的获取可能需要你同时分析握手阶段的数据包。集成外部解密工具如果Lua内实现复杂算法困难可以曲线救国。编写脚本将Wireshark中的数据导出调用一个外部的Python/Go解密程序再将结果读回Wireshark显示。这利用了Wireshark的External协议功能。自动化与报告生成将整个分析流程脚本化。可以编写一个Python脚本自动调用tsharkWireshark的命令行版本配合你的Lua解析器批量处理pcap文件提取所有解密后的指令并生成一份结构化的CSV或JSON报告列出所有攻击行为。从内存中提取密钥在应急响应中如果服务器尚未被清理可以获取其内存快照。使用Volatility等内存取证工具搜索内存中可能存在的AES密钥字符串或相关对象。结合对哥斯拉JSP/JAR文件的内存结构分析有可能直接定位到密钥所在的内存地址。这比静态分析代码更直接但需要更高的取证技巧。解密和分析哥斯拉流量是一个典型的“知其然更要知其所以然”的过程。它不仅仅是为了看懂一次攻击更是为了锻炼你在加密流量面前的分析思维和问题拆解能力。掌握了这套方法再面对其他使用自定义加密的恶意软件或C2工具时你也就有了清晰的应对思路。工具和脚本可能会过时但这种“捕获 - 定位密钥 - 编写解析器 - 深度分析”的框架性思维才是安全分析师最宝贵的武器。
