当前位置：首页 > news >正文

从一道CTF题复盘CVE-2021-3129：手把手解密Laravel漏洞流量中的Webshell与CobaltStrike密钥

news 2026/6/13 17:22:45

从一道CTF题复盘CVE-2021-3129：手把手解密Laravel漏洞流量中的Webshell与CobaltStrike密钥

在网络安全竞赛中，流量分析类题目往往最能考验选手对真实攻击场景的还原能力。2021年"绿城杯"的一道Misc题目，就通过精心设计的流量数据包，完整再现了攻击者利用Laravel框架漏洞（CVE-2021-3129）植入Webshell，并通过CobaltStrike实施后续渗透的全过程。本文将带您深入漏洞原理与流量特征，解密攻击链中的关键环节。

1. 漏洞入口：识别Laravel框架的异常流量

当我们在Wireshark中加载题目提供的流量包时，几个显著特征会立即引起注意：

Python Requests的UA头：多数HTTP请求使用浏览器常见UA，而攻击流量常呈现自动化工具特征
异常的POST请求路径：针对Laravel特定组件的非正常访问
特殊字符串结构：包含AAA*前缀和=结尾的编码数据

通过搜索这些特征，很快能关联到CVE-2021-3129漏洞。该漏洞源于Laravel框架的ignition组件对__toString方法的错误处理，允许攻击者通过精心构造的请求实现远程代码执行。

典型攻击流量示例：

POST /_ignition/execute-solution HTTP/1.1 User-Agent: python-requests/2.25.1 Content-Type: application/json { "solution": "Facade\\Ignition\\Solutions\\MakeViewVariableOptionalSolution", "parameters": { "variableName": "AAA*...==", "viewFile": "php://filter/write=convert.base64-decode/resource=../storage/logs/laravel.log" } }

2. 解密攻击载荷：从混淆字符串到Webshell

攻击流量中最关键的加密字符串需要特殊处理才能还原：

去除AAA*前缀和尾部=
将剩余字符串中的=替换为00
进行Base64解码

解密工具示例（Python）：

import base64 def decrypt_payload(encoded): cleaned = encoded.replace("AAA*", "").rstrip("=") cleaned = cleaned.replace("=", "00") return base64.b64decode(cleaned + "=" * (-len(cleaned) % 4)).decode()

通过分析多个解密后的请求，可以观察到攻击者分阶段执行的操作：

清空日志文件
注入恶意代码
写入Webshell文件（通常为.config.php）

3. Webshell深度分析：从混淆到可执行代码

题目中的Webshell采用多层混淆：

初始形态：POST参数值前两位为干扰字符，去除后可直接Base64解码
二次解密：得到的大马代码包含动态执行函数
关键操作：查找服务器上的敏感文件（如secret.zip）

Webshell特征对比表：

特征类型	普通一句话木马	题目中的Webshell
密码验证	简单字符串比对	动态哈希校验
代码结构	单一函数调用	多层嵌套执行
功能范围	基础文件操作	完整系统控制

4. 追踪CobaltStrike痕迹：密钥提取与流量解密

攻击者在获取Webshell后，通常会部署CobaltStrike等C2框架。题目中关键证据是beacon_keys文件，解密流程如下：

4.1 压缩包提取与解密

通过WinHex识别PK头（50 4B 03 04）
修复被Webshell字符串包裹的ZIP结构
使用Webshell中泄露的密码解压（示例密码：P4Uk6qkh6Gvqwg3y）

4.2 Beacon密钥解密流程

graph TD A[获取私钥] --> B[解密元数据] B --> C[提取AES KEY] C --> D[解密通信流量]

实际操作步骤：

使用专用工具解析beacon_keys中的RSA私钥
解密心跳包（通常伪装为/en_US/all.js请求）
从Cookie中提取加密的元数据
通过AES密钥解密实际通信内容

关键解密命令示例：

python cs_parse_keys.py beacon_keys python cs_decrypt_metadata.py -i traffic.pcap -o decrypted.json

5. 防御视角：从攻击特征构建检测规则

基于此案例，我们可以提炼出有效的检测规则：

YARA规则示例：

rule Laravel_CVE_2021_3129_Exploit { meta: description = "Detects CVE-2021-3129 exploitation attempts" strings: $ignition_path = "/_ignition/execute-solution" $php_filter = "php://filter/write=convert.base64-decode" $aaa_prefix = "AAA*" condition: all of them }

SIEM检测逻辑：