网络攻防技术综合实训-课件 第6章 恶意代码分析实训

第六章恶意代码分析实训6.1“彩虹猫”病毒样本分析实验内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5计算机病毒作为一种特殊的计算机程序，具有区别于一般程序的显著特征，主要体现在以下几个方面：计算机病毒（1）传染性类似于生物病毒在个体间的传播，计算机病毒能够通过多种途径从已感染的文件或系统扩散至未感染的对象。一旦病毒程序在系统中运行，便会主动搜寻符合其感染条件的文件或存储介质，并通过自我复制实现传播。受感染的文件或设备进而成为新的传染源，持续扩散病毒。计算机病毒（2）潜伏性为充分实现繁殖与传播，精心设计的计算机病毒在侵入系统后通常不会立即表现出破坏行为，而是保持长时间潜伏。在此期间，病毒主要进行自我复制和传播，尽可能避免引起用户察觉。计算机病毒（3）可触发性病毒通常包含一个或多个由作者预设的触发条件，用于控制其感染或破坏行为的启动时机。触发条件形式多样，可为特定日期、键盘输入组合、计数器数值等。病毒在满足相应条件时才会被激活。计算机病毒（4）寄生性计算机病毒通常依附于其他文件或存储区域的引导扇区中执行。常见寄生对象包括扩展名为.exe的可执行文件，病毒在宿主文件运行时优先取得控制权并驻留内存，进而感染其它文件。引导型病毒则寄生于软盘或硬盘的引导扇区，通过篡改引导程序在系统启动时获得执行权限。该类病毒在早期较为普遍，例如巴基斯坦病毒。计算机病毒（5）非授权执行性正常程序在用户明确授权下运行，并由操作系统分配资源。而计算机病毒通过隐藏在合法程序或数据中，在用户不知情的情况下获取执行权限和系统资源，其运行未获得用户许可，体现了非授权执行的特点。计算机病毒（6）破坏性病毒的破坏行为完全取决于其编写者的设计意图，可能包括干扰系统输入输出、篡改配置、删除数据与程序、加密或格式化磁盘、破坏分区表，以及占用CPU、内存、磁盘等系统资源，从而导致性能下降或功能瘫痪。计算机病毒内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5（1）深入观察和记录彩虹猫病毒在受感染系统上的具体行为，识别其核心恶意功能。（2）实践并掌握基本的静态分析技术和动态分析技术。实验目的内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5（1）使用VMwareWorkstation、VirtualBox等创建隔离的Windows虚拟机，并在虚拟机中运行彩虹猫病毒。使用IDA分析彩虹猫病毒文件，分析病毒的运行逻辑。实验内容和环境（2）实验平台：Windows7-x64（3）实验工具：IDA7.7-32位，病毒样本名称：geometrydashautospeedhack.exe。MD5：19dbec50735b5f2a72d4199c4e184960，SHA1：6fed7732f7cb6f59743795b2ab154a3676f4c822实验内容和环境内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考51.运行病毒文件①在Windows7虚拟机中运行病毒文件，运行病毒文件之前先给虚拟机拍个快照，这样即使运行病毒之后导致虚拟机报废，也能使用快照恢复到运行之前的状态。注：不可在真机运行！！！，打开任务管理器，观察进程情况，如图6-1所示。实验步骤实验步骤图6-1进程运行情况②提取压缩包内容，两个文件：.bat，.exe。显然，.exe文件为病毒文件，运行该病毒文件，连续两次弹出警告信息：第一次警告你这是一个恶意软件，它将会损害你的计算机；第二次警告你这是最后一次警告，并告知你运行该恶意软件造成的任何破坏开发者概不负责，如图6-2和6-3所示。注意：任务管理器中多出的如下这6个进程，如图6-4所示。实验步骤实验步骤图6-2第一次警告信息实验步骤图6-3第二次警告信息实验步骤图6-4任务管理器进程信息③打开浏览器网页，鼠标开始晃动，屏幕颜色显示异常。此外，还有系统接连不断的提示音，并且屏幕在层层缩放，如图6-5和6-6所示实验步骤实验步骤图6-5接连不断的系统提示实验步骤图6-6屏幕层层缩放④到此，已经运行了5分钟，还在继续，主动进行了重启（重启会出现彩虹猫），屏幕突然出现大量的弹窗，紧接着蓝屏，彩虹猫出来了，虚拟机无法打开，如图6-7和6-8所示。注：想要虚拟机恢复正常，请参考总结部分。实验步骤实验步骤图6-7大量弹窗实验步骤图6-8彩虹猫弹出2.IDA分析①打开32位IDA，载入病毒文件geometrydashautospeedhack.exe，按下F5（笔记本电脑按Fn+F5组合键）获得伪代码，进入start函数。注：IDA生成的伪代码不一定完全正确，但对于反汇编分析有参考价值，如图6-9所示。实验步骤实验步骤图6-9函数界面②病毒文件的函数不多，主要对start函数的理解，如图6-10，能把握整体的运行流程，这里看不懂可以跳过，做完下面实验更能明白上面这张图在说什么。实验步骤实验步骤图6-10病毒的运行流程3.start函数总览①start函数开头部分调用了GetSystemMetrics来获得屏幕的宽度高度、GetCommandLineW和CommandLineToAtgvW来获得命令行参数，如图6-11所示。实验步骤实验步骤图6-11start函数部分内容注：伪代码截图中的一些注释是笔者自己手动添加的，如有误可指正。根据pNumArgs和v1两个变量的内容可将start函数的结构可以分为三个部分：watchdog部分、main部分、无参数部分。代码块划分如图6-12所示。实验步骤实验步骤图6-12start函数代码块划分4.无参数部分①当我们双击病毒文件之后，首先执行无参数部分的代码块。使用MessageBoxA依次弹出两个对话框。如果两个对话框都被用户点击“是”，病毒文件将会继续执行，如图6-13所示。实验步骤实验步骤图6-13无参数部分代码块②当用户与对话框交互时，MessageBoxA会返回一个值来对应用户点击的按钮，如果用户点击“是”，返回值6。代码继续执行的内容如下，创建了5个命令行参数为watchdog的进程和1个命令行参数为main的进程。在病毒文件执行时的任务管理器中可以看到这6个进程，到此，无参数部分已经运行完毕。如图6-14和6-15所示。实验步骤实验步骤图6-14创建命令行参数部分代码块实验步骤图6-15任务管理器中6个进程信息5.watchdog部分①下面分析watchdog的伪代码。从伪代码中可以看到，首先创建了一个线程，调用sub_40114A函数。在该部分还出现了sub_401000函数，如图6-16所示。实验步骤实验步骤图6-16watchdog部分的伪代码②跟进sub_40114A函数，如图6-17所示，看看这里面发生了什么。该函数使用while(1)进入一个死循环，首先获取当前系统的一个快照，然后遍历当前快照中的每一个系统进程，比较两个进程名是否匹配，如果匹配则变量v4增1，每轮循环结束都会比较v4与v7的值，如果v4小于v7的值，说明当前系统的若干进程被关闭，那么执行sub_401021函数。实验步骤总之，sub_40114A函数可以检测到在无参数部分开启的6个进程是否被关闭，如果检测到少于6个进程，就会触发sub_401021函数。实验步骤实验步骤图6-17sub_40114A函数内容③继续跟进sub_401021函数，看看这个函数里面发生了什么。该函数是一个强制关机/重启的函数。首先创建了20个进程，会随机出现在屏幕的任意位置，如图6-18和6-19所示。实验步骤实验步骤图6-18sub_401021函数内容实验步骤图6-1920个进程界面④使用RtlAdjustPrivilege提权后调用NtRaiseHardError导致系统崩溃出现蓝屏如图6-20所示。使用SeShutdownPrivilege特权可以关闭操作系统。所以在此处调用sub_401021函数的作用：监视系统中的6个进程运行情况，若检测到任一进程被关闭，将会导致系统蓝屏并关机重启（重启之后就会看到彩虹猫）。实验步骤实验步骤图6-20蓝屏信息截图⑤此外，在watchdog部分还有一个函数没有分析：sub_401000函数，如图6-21所示，继续跟进该函数只处理值为16或22的消息。系统主动关机时，会发送值为16或22的消息给各个窗口。所以，在此处调用sub_401021函数可以检测到用户是否主动关机或重启的行为。如果检测到用户主动关机也会执行该函数。实验步骤综上所述，watchdog的功能可以监视进程状态以及用户是否主动关机的行为，如有发现，则立即进入sub_401021函数中，执行病毒最后的操作（蓝屏、重启出现彩虹猫）。实验步骤实验步骤图6-21sub_401000函数内容6.main部分①main部分的代码可以分两块看：第一块代码打开物理磁盘覆盖MBR，达到开机出现彩虹猫的动态效果；另一块是运行病毒文件时电脑出现的各种异象。MBR是一个引导程序，引导加载操作系统。实验步骤在main部分，恶意程序首先做的一件事就是直接把整个MBR用自己的数据覆盖掉了，那么Windows操作系统也将无法启动。使用CreateFileA以文件形式打开了主硬盘PhysicalDrive0，最后使用WriteFile修改了整个MBR，如图6-22所示。实验步骤实验步骤图6-22覆盖MBR②电脑异常现象的分析。覆盖MBR之后，程序首先通过CrateFileA创建一个txt文件：note.txt，通过WriteFile尝试向该文件中写入内容，并通过ShellExecuteA来调用notepad打开note.txt。运行效果如下。这里在宣布它已经破坏成功（这时如果重启电脑或者关掉6个进程之一就能出现彩虹猫，导致电脑无法正常开机；如果不这样做，电脑就会出现各种异常现象）如图6-23和6-24所示。实验步骤实验步骤图6-23note.txt内容实验步骤图6-24电脑异常现象分析③接下来通过while(v8<0xA)创建10个线程，每个线程执行sub_401A2B函数，在创建完这些线程之后，代码进入一个无限循环，每10秒暂停一次。实验步骤注：Sleep(0x2710u)中的0x2710u是一个十六进制无符号整数，表示的十进制数值是10000。跟进sub_401A2B函数，发现这个函数很简单，再跳回去，发现创建进程时还传入了v9参数，每创建一个线程v9就自增2，由于v9的类型为DWORD（DoubleWord），所以每次自增2实际上是增加8个字节（1个word=2字节，1个dword=2个word=4字节）如图6-25和6-26所示。实验步骤实验步骤图6-25sub_401A2B函数内容实验步骤图6-26部分函数内容④v9初始值为一个地址：off_405130，双击该地址进行查看。从初始地址00405130依次自增2个DWORD（即8字节）分别变为00405138、00405140、00405148、00405150、00405158、00405160、00405168、00405170、00405178，每个地址都对应了一个函数：sub_4014FC（初始）、sub_40156D、sub_4017A5、sub_4016A0、sub_4015D4、sub_40162A、sub_401866、sub_401688、sub_4017E9、sub_4016CD。实验步骤这些函数就是导致电脑出现异常现象的元凶，这里需要逐个的分析每个函数，依次查看这些函数的伪代码（方法：双击函数名，按F5（笔记本按Fn+F5）查看伪代码），如图6-27和6-28所示。实验步骤实验步骤图6-27查看v9初始值地址实验步骤图6-28查看sub_4014FC函数⑤sub_401A55函数生成随机值，该函数使用ShellExecuteA随机打开一个文件/网页,双击lpFile进入查看。如下图所示，可以看到该函数随机打开的网页和文件有哪些，如图6-29和6-30所示。实验步骤实验步骤图6-29随机打开的网页信息实验步骤图6-30随机打开的文件信息⑥跟踪sub_40156D函数，如图6-31所示。使用GetCursorPos获取当前屏幕的鼠标位置，然后在一定范围内随机取值，使用SetCursorPos设置新的鼠标位置，造成屏幕上鼠标抖动的现象，对于其他的函数这里不再一一罗列，可以自行分析。实验步骤实验步骤图6-31sub_40156D内容内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5通过对彩虹猫病毒样本的分析，读者能够获得对恶意软件分析流程、常用工具和基础技术的扎实理解，特别是对引导扇区病毒这类破坏性恶意软件的运作机制有直观认识。实验总结如下：总结与思考1.病毒行为验证（1）核心破坏机制：成功观察到病毒对主引导记录的覆盖行为，导致系统重启后无法正常启动，取而代之的是彩虹猫动画及循环播放的音乐。总结与思考（2）无持久化与传播：病毒未设置注册表自启动项，不依赖文件感染传播，属于“一次性破坏型”恶意软件，主要通过社会工程学（如伪装游戏补丁）诱骗用户执行。（3）低隐蔽性：未使用加壳或高级混淆技术（原始版本），字符串中暴露关键行为线索。总结与思考2.分析技术实践（1）静态分析高效性：通过字符串检索快速定位到MBR写入DeviceIoControl、动画资源路径等关键行为。总结与思考（2）动态分析必要性：进程监控捕获了病毒直接写入物理磁盘扇区0的操作，这是静态分析无法动态验证的高风险行为。注册表/文件比对（RegShot）确认病毒未修改系统配置，仅释放临时文件（动画/音频资源）。实验过程中需要注意以下细节：总结与思考验证彩虹猫文件的MD5码，如图6-32所示。在cmd中使用CertUtil-hashfile文件路径哈希算法命令来计算病毒文件geometrydashautospeedhack.exe的哈希值，在cmd中分别执行下面两条命令。总结与思考CertUtil-hashfile"C:\Users\hcc\Desktop\MEMZ\geometrydashautospeedhack.exe"MD5CertUtil-hashfile"C:\Users\hcc\Desktop\MEMZ\geometrydashautospeedhack.exe"SHA1总结与思考总结与思考图6-32验证MD5码②恢复虚拟机的方法使用运行病毒文件之前拍摄的快照进行恢复，可以直接恢复到运行病毒文件之前虚拟机的状态，如图6-33所示。总结与思考总结与思考图6-33利用快照恢复虚拟机6.2文件上传漏洞利用流量

分析实验内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5在网络空间中，安全漏洞（vulnerability）是指系统中存在的弱点，可能源于编码或设计阶段的缺陷。安全漏洞是构成各类网络安全事件的基础条件。某一物理或逻辑资源若存在一个或多个安全漏洞，且被攻击者成功利用，就可能导致其保密性、完整性或可用性受到损害。此类威胁不仅影响该资源本身，还可能波及其它关联资源。安全漏洞1.安全漏洞的定义不同组织对安全漏洞的定义存在差异。国际标准化组织（ISO）给出的定义较为抽象，将其描述为“一个或一组可被威胁利用的弱点，这些资产对组织或其业务运行具有价值，包括支持业务的信息资源”。而IETF则提出了更偏向工程化的定义，认为安全漏洞是“系统在设计、实现、运行或管理过程中存在的缺陷，可被利用以违反系统的安全策略”。该定义明确指出，安全漏洞可出现在系统生命周期的任何阶段。安全漏洞只有当攻击者具备利用漏洞的动机和渠道时，安全漏洞才构成实际威胁。因此，并非所有漏洞都会引发安全风险。需注意的是，系统的“安全缺陷”（bug）属于狭义的安全漏洞概念。还有一类漏洞源于系统构建或使用方式的不当，与软硬件组件自身的安全性无关——即使组件没有缺陷，系统仍可能存在漏洞。安全漏洞从科学角度看，系统的安全性应具备可证伪性，因此安全漏洞总是可能存在的。它们构成潜在的未授权访问通道，需要持续进行检测与发现。漏洞管理是一个周期性的过程，包括识别、修补和抑制漏洞。若某一漏洞存在被利用的实际案例，则称其为“可利用漏洞”。对系统而言，某个漏洞的“有效窗口”是指从其形成到被修补或攻击者消失之间的时段。这也意味着，只有当漏洞可被利用且存在意图利用的攻击者时，才会产生真正的安全威胁。安全漏洞2.安全漏洞的披露在网络空间安全领域，安全漏洞的发掘主要由技术黑客和经济黑客两类群体推动。技术黑客通过分析经济黑客所采用的攻击方法，识别其利用的安全漏洞，其核心目标在于提升网络空间的整体防御能力。安全漏洞因此，他们通常会通过自有或公共渠道向社会公布漏洞信息，以提醒系统与安全管理人员及时加固系统，同时也藉此展示自身的技术实力和工作成果。多数具备一定规模的安全企业都拥有技术黑客团队，并建立了相应的漏洞发布机制和规范。相反，经济黑客、政治黑客及国家背景的黑客则将新发现的漏洞视为攻击路径，通常不会主动公开这类信息，而是将其用于隐蔽攻击。安全漏洞安全漏洞的披露一般通过两类渠道进行：一类是行业内部交流渠道，如邮件列表，用于初步确认漏洞并商讨修复方案；另一类是面向公众的发布平台，例如权威安全机构的网站，用于呼吁广大用户和机构提高警惕。安全漏洞漏洞信息通常首先在行业内部渠道流转，待确认和初步应对策略形成后，才向社会公开。漏洞首次在任一渠道中出现的时间即被认定为披露时间。需要说明的是，尽管安全漏洞可能源自系统设计、实现或使用过程，但通常只有设计与实现阶段产生的漏洞属于披露范畴；使用过程中因管理或人为操作引入的漏洞一般不在披露之列。安全漏洞技术黑客团队有时会因竞争动机争取率先披露漏洞，但漏洞公开具有双重影响：一方面有助于防御方及时应对，另一方面也可能被攻击者（如经济黑客）利用。安全漏洞因此，漏洞披露需遵循一定规范。例如在2014年1月，谷歌早于微软补丁发布之前公开了其Windows系统中的一个漏洞，导致存在一段无法修补的风险窗口期。微软因此呼吁建立漏洞披露的协调机制。事实上，谷歌与微软早在2010年8月就曾达成共识，提倡“负责任的漏洞披露”（也称协调披露），即发现方应首先通知相关厂商，并预留一定时间（如两周）供其响应，随后通报给CERT等管理机构，后者再给予厂商约45天进行修复，之后方可公开漏洞及修补方案。安全漏洞该机制为厂商提供了约两个月的整改周期，此期间也常被称为“零日（0-day）”攻击窗口。提前披露虽可施加压力促使厂商尽快修复，但也可能加剧安全风险。值得注意的是，现实中存在所谓的“灰帽子黑客”：若技术黑客发现可通过向经济黑客出售漏洞获利，可能诱使其放弃公开，转而将漏洞用作零日攻击工具。安全漏洞3.安全漏洞的生命周期安全漏洞并非永久存在，其可利用性也会随时间变化。通常，漏洞被利用的过程会经历从隐蔽到公开、从复杂到简单的演变。安全漏洞的完整生命周期可大致划分为以下六个阶段：安全漏洞（1）产生漏洞通常在系统设计或大型项目开发过程中被无意引入，但也可能存在少数由设计或实现人员故意植入的情况。安全漏洞（2）发现当有人（无论出于善意或恶意）意识到某个漏洞可能对系统造成危害时，即视为该漏洞已被发现。由于软件复用程度高，漏洞常具有继承性，旧版本中的问题往往在新版本中仍然存在，这也是漏洞持续涌现的原因之一。安全漏洞（3）暴露若发现者通过行业内部渠道公开漏洞的技术细节，该漏洞即进入暴露阶段。此时其他研究人员可对其验证或提出修补方案，同时这也是“零日攻击”频繁发生的时期。安全漏洞（4）曝光当厂商或发现者发布修补方法或补丁程序时，漏洞进入曝光阶段。此时漏洞信息为更广泛的群体所知，传播范围超出可控范围，经济黑客可能据此开发攻击工具，威胁进一步扩大。安全漏洞（5）成熟在此阶段，漏洞利用方法经专家整理并工具化，使得即使技术能力有限的攻击者也能轻易利用该漏洞，从而导致其被大规模滥用。安全漏洞（6）消亡随着相应补丁和防护措施的普及，漏洞可利用的目标系统逐渐减少。当受影响系统因升级或淘汰而不复存在，该漏洞便逐渐失去利用价值，最终走向消亡。安全漏洞内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5（1）掌握DVWA文件上传漏洞的利用。（2）掌握蚁剑工具的使用。（3）掌握Wireshark进行流量分析。实验目的内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考5本实验基于DVWA平台，通过模拟文件上传漏洞利用的完整过程并结合蚁剑（AntSword）实现Webshell连接与远程命令执行，最后利用Wireshark对整个过程产生的HTTP通信数据进行抓包分析，观察渗透过程中产生的异常请求与恶意命令数据，主要内容包括：实验内容和环境（1）使用Docker启动DVWA靶场；（2）制作并上传一句话木马muma.php；（3）使用BurpSuite绕过上传限制，成功上传木马文件；（4）借助蚁剑工具连接Webshell，执行系统命令（5）使用Wireshark抓取并分析通信过程中的HTTP数据包，进行URL解码与Base64解码，还原攻击命令。实验内容和环境内容提纲实验目的2实验内容和环境3实验步骤4预备知识1总结与思考51.蚁剑AntSword安装①在蚁剑官网下载两个压缩包：安装文件antSword和加载器AntSword-Loader。其中，antSword可以直接下载，对于AntSword-Loader的下载需要选择对应的系统版本，这里选择Linux64版，如图6-34所示。实验步骤实验步骤图6-34下载地址界面②将AntSword-Loader解压，并创建一个新文件夹AntSword，将antSword的压缩包（名为antSord-master）放入该文件夹。注：解压后的AntSowrd-Loader文件夹可以放入该文件夹，也可以不放，如图6-35所示。实验步骤实验步骤图6-35解压AntSword-Loader③进入AntSword-Loader文件夹内双击运行文件AntSword，然后点击Initialize。选择刚刚新建的AntSword文件夹（该文件夹内包含之前下载的antSword安装文件）。初始化后会自动重启，安装完成。注：即使之前不下载安装文件antSword，初始化时选择AntSword文件夹，会自动下载安装文件antSword并解压，如图6-36和6-37所示。实验步骤实验步骤图6-36双击运行AntSword实验步骤图6-37初始化操作④到此，蚁剑AntWord安装成功，如图6-38所示。注：如果出现AntSword无法关闭的情况，参考附录。实验步骤实验步骤图6-38进入蚁剑界面2.启动DVWA靶场①这里使用之前通过Docker部署的DVWA靶场（:8081）。不会使用Docker部署DVWA可参考之前的实验。首先通过终端命令打开DVWA靶场的Docker容器，如图6-39所示。实验步骤实验步骤图6-39打开docker靶场的Docker容器②启动Wireshark抓包，因为DVWA靶场在Docker容器内与宿主机隔离，使用Wireshark抓取DVWA的流量包时需要选择docker0接口，如图6-40所示。实验步骤实验步骤图6-40启动Wireshark抓包3.DVWA文件上传漏洞利用①登入DVWA，打开火狐浏览器，地址栏输入:8081（根据自己配置情况而定），输入用户名和密码（默认用户名admin、密码password），并选择Medium安全等级，如图6-41所示。实验步骤实验步骤图6-41选择Medium安全等级②源码审计，选择FileUpload，点击页面右下角的ViewSource。源码如图6-42所示。上传文件的过滤限制：文件类型必须为image/jpeg或者image/png，文件大小必须小于100000B。实验步骤实验步骤图6-42文件源码③准备muma.php，将上面一句话木马写入php文件muma.php中，内容如图6-43所示：实验步骤<?php@eval($_POST[cmd]);?>基本原理：利用文件上传漏洞，往目标网站上传一句话木马，在本地通过蚁剑AntSword.exe即可获取和控制整个网站目录。首先存在一个名为cmd的变量，cmd的取值为HTTP的POST方式。Web服务器对cmd取值以后，然后通过eval()函数执行cmd里面的内容。实验步骤注：$_POST[这里是连接密码]，使用蚁剑AntSword连接密码为cmd。使用蚁剑渗透成功需要满足：木马上传成功、知道木马路径、木马能正常运行。下面逐步进行。实验步骤实验步骤图6-43一句话木马④上传muma.php，尝试直接上传muma.php，不符合上传条件（.jpeg/.png文件），muma.php被过滤掉，上传失败，如图6-44所示。实验步骤实验步骤图6-44上传muma.php文件失败⑤下面使用Burpsuite抓包、修改数据来上传muma.php。在火狐浏览器使用插件FoxyProxy开启代理（地址、端口8088，这里自己设置，后面在Burpsuite中还会用到该代理信息），如图6-45所示，注：FoxyProxy代理配置步骤在附录。实验步骤实验步骤图6-45代理配置⑥在Burpsuite中通过下图方法，添加一个代理监听（地址、端口8088，与上面的代理信息一致），如图6-46和图6-47所示。实验步骤实验步骤图6-46添加代理监听实验步骤图6-47代理监听添加成功⑦点击Interceptisoff，开启拦截，点击后显示Interceptison表示开启成功，如图6-48所示。返回到火狐浏览器中，选择muma.php进行尝试上传。这时在Burpsuite中会拦截到下面的包，如图6-49所示（如果Burpsuite没有反应可能前面代理设置有问题）。首先将Content-Type值修改为符合文件上传要求的格式：image/png，再点击Forward将包放行。实验步骤实验步骤图6-48开启拦截实验步骤图6-49修改拦截包后放行⑧再返回火狐浏览器，可以看到文件上传成功的回显信息，如图6-50所示。实验步骤实验步骤图6-50PNG文件上传成功⑨上面拼接得到的url就是muma.php上传后所在的位置。可通过下面命令进入docker容器查看上传的muma.php存储的位置。运行dockerexec-ithcc_dvwabash进入名为hcc_dvwa的docker容器。使用cat命令可以查看文件内容。使用exit命令退出bashshell实验步骤到此，muma.php上传成功，也得到了muma.php的路径，如图6-51所示。实验步骤实验步骤图6-51一句话木马内容4.蚁剑连接①右击空白，点击Add。根据下图进行shell设置，这里的url为上面得到的muma.php的路径，连接密码为muma.php中通过POST提交的数据cmd，