1.加密流程

工具名稱	requests	response
AntSword	base64等方式	明文
冰蝎2.0	開啟Openssl擴(kuò)展-動態(tài)密鑰aes加密	aes加密+base64
	未開啟Openssl擴(kuò)展-異或	異或+base64
冰蝎3.0	開啟Openssl擴(kuò)展-靜態(tài)密鑰aes加密	aes加密+base64
	未開啟Openssl擴(kuò)展-異或	異或+base64
哥斯拉	php的為base64+異或+base64	異或+base64+臟字符
	jsp的為Base64+AES	aes+base64+臟字符

2.案例繞過

waf檢測到傳入值存在惡意參數(shù)

抓包獲取數(shù)據(jù)包

使用數(shù)據(jù)包發(fā)送，網(wǎng)站被攔截

傳入的值為經(jīng)過php運(yùn)行結(jié)果為base_64decode

將chr的值更改為‘base_64decode’，將POST更改為REQUEST，發(fā)送成功繞過

3.菜刀的版本和流量特征

3.1版本

2014 S_POST=S_REQUEST 2016 可以

3.2數(shù)據(jù)包流量特征

（1） 請求包，中：ua頭為百度爬蟲
（2）請求體中存在eval,base64等特征字符
（3）請求體中傳遞的payload為base64編碼，并且存在面定的
QGluaV9zZXQolmRpc3BsYXIfZXJyb3JzliwiMClpO0BzZXRfdGItZV9saW1pdCgwKTtpZih
QSFBfVkVSUOIPTjwnNS4zLjAnKXtAc2V0X21hZ2ljX3F1b3Rlc19ydW50aW1IKDApO307
ZWNobygiWEBZlik7J

4.冰蝎的版本和流量特征

請求正文全部為AES加密（AES加密的特則含有///，大小寫混雜，base64加密含有=）AES加密需要知道密匙、偏移量、加密模式等