一.关于冰蝎 1.1 简单介绍 冰蝎是一款基于Java开发的动态加密通信流量的新型Webshell客户端.老牌 Webshell 管理神器——中国菜刀的攻击流量特征明显,容易被各类安全设备检测,实际场景中越来越少使用,加密 Webshell 正变得日趋流行. 由于通信流量被加密,传统的 WAF.IDS 设备难以检测,给威胁狩猎带来较大挑战.冰蝎其最大特点就是对交互流量进行对称加密,且加密秘钥是由随机数函数动态生成,因此该客户端的流量几乎无法检测. 1.2 关于冰蝎通信 冰蝎通信大致分为两个阶段

ssh -t username@remoteip "echo rootpassword | sudo -S tcpdump -i eth0 -A '(tcp[((tcp[12:1] & 0xf0) >> 2):4] = 0x504f5354)' -c 10000" | wireshark -k -i - 上面的一条命令可以解决三个问题 1. 使用低权限帐号SSH登陆远程主机 2. 切换到ROOT账户执行TCPDUMP 3. 抓取HTTP POST流量并回显到本地主机

使用Burp对安卓应用进行渗透测试的过程中,有时候会遇到某些流量无法拦截的情况,这些流量可能不是HTTP协议的,或者是“比较特殊”的HTTP协议(以下统称非HTTP流量).遇到这种情况,大多数人会选择切换到Wireshark等抓包工具来分析.下面要介绍的,是给测试人员另一个选择——通过Burpsuite插件NoPE Proxy对非HTTP流量抓包分析,并可实现数据包截断修改.重放等功能. ## NoPE Proxy简介 NoPE Proxy插件为Burpsuite扩展了两个新的特性: 1. 一个

在进行通信开发的过程中,我们往往会把本机既作为客户端又作为服务器端来调试代码,使得本机自己和自己通信.但是wireshark此时是无法抓取到数据包的,需要通过简单的设置才可以. 具体方法如下: 方法一: 1.以管理员身份运行cmd 2.route add 本机ip mask 255.255.255.255 网关ip 如:route add 172.16.51.115 mask 255.255.255.255 172.16.1.1 使用完毕后用route delete 172.16.51.115

这里安装的是夜神模拟器,网络模式设置为桥接: 然后从burp suite 导出证书,存为.cer格式.将其导入手机模拟器(我用百度网盘导入的,自带的文件导入,不太会用,找不到放哪了) 然后给手机模拟器安装证书(设置-WLAN-右上方,三个点的位置选高级): 安装,随便起个名字,这里还要设置手机锁屏密码,一定要记住了,不然下次就gg了,还得重新配置. 接下来配置burp代理: 配置好后,设置手机模拟器联网代理,用鼠标左键,点击WLAN名称,长按,弹出,修改网络,进行如下配置: 由于手机模拟器设置的

今天将自己的电脑既作为客户端又作为服务端进行一个程序的测试,想着用WireShark来抓包分析一下问题,但由于WireShark只能抓取经过电脑网卡的包,由于我是使用localhost或者127.0.0.1进行测试的,流量是不经过电脑网卡的,所以WireShark无法抓包,一番查找之下找到了解决方法. 1 . 以管理员身份打开命令提示符 2 . 输入 route add 本机ip mask 255.255.255.255 网关ip 如果不知道本机ip和网关ip,可以在命令行输入ipconfig查

- PC端配置 设置允许远程连接. - PC端共享上网 需要在PC上进行手机抓包,必须使手机流量经过PC,在文章<简单两行,实现无线WiFi共享上网,手机抓包再也不用愁了>中介绍了如何在PC上进行手机无线共享上网,按照说明配置即可. 当然也可使用各种共享WiFi工具进行WiFi共享设置,或者使用路由进行共享上网,只需要手机报文经过开了Fiddler的PC即可,此处不作介绍. - 手机端配置 WiFi设置 手机端连接PC端共享出的WiFi,并设置代理,代理服务器为Fiddler所在PC的共享网卡

抓取别人的数据包有几种办法,第一种是你和别人共同使用的那个交换机有镜像端口的功能,这样你就可以把交换机上任意一个人的数据端口做镜像,然后你在镜像端口上插根网线连到你的网卡上,你就可以抓取别人的数据了:第二种,把你们局域网的交换机换成一个集线器,这样的换所有的数据包都是通发的,也就是说,不管是谁的数据包都会路过这个集线器上的每一个计算机,只要你将网卡设置为混杂模式就能抓到别人的包:第三种,利用MAC地址欺骗,在局域网内发送ARP包,使其他计算机都误以为你是网关,这样的话,其他计算机都会将它们的数据

通过天天模拟器,代理抓取安卓app数据包.也可以抓取https. 1.下载天天模拟器,官方下载即可,下载安装. 2.启动天天模拟器,设置代理,点击上方wlan设置图标,打开wlan设置,如下: 3.鼠标点击已连接的ssid不放,长点击.点修改网络,打开设置,显示高级选项:然后设置代理为本地物理机的ip ,端口8080即可,burp默认端口. 4.修改burp监听,监听 0.0.0.0 的8080,就可以了. 注意:如果无法代理,可尝试关闭本地物理机的防火墙. 模拟器会有些莫名其妙的问题,建议采用

[问题概述] https流量基于ssl/tls加密,无法直接对报文进行分析. [解决方案] 方案1 -- 利用"中间人攻击"的代理方式抓包分析.整个方案过程比较简单,这里不赘述,大致如下(详细可参见:https://www.cnblogs.com/liulinghua90/p/9109282.html): 方案2 -- 基于Chrome/Firefox等浏览器工作过程中需要在PC本地存储RSA密钥协商过程日志数据的原理基础,同时将协商过程的日志文件共享给wireshark从中提取过程密

0x00 Wireshark(前称Ethereal)是一个网络封包分析软件.网络封包分析软件的功能是撷取网络封包,并尽可能显示出最为详细的网络封包资料.Wireshark使用WinPCAP作为接口,直接与网卡进行数据报文交换. 我们可以利用arpspoof拦截转发同一网段下其他用户流量,再使用Wireshark来分析查看流量 配置环境: 攻击端:kali  靶机端:2003 xp 0x01 首先确保三台机在同一网段下

1.首先安装NPCAP 下载地址:https://nmap.org/download.html 安装时,记得勾上最后一个选项:wincap模式 安装完成后,一定要重启系统 2.安装wireshark 在安装过程中,会检测到NPCAP,一步步完成即可. 打开后,会看到Loopback Adapter,用这个就可以.

过程其实很简单,仅仅做个记录.过程适用Android和ios手机 fidder的原理如下: 下面开始步骤: 1.在fidder中设置代理:Tools--->Fidder Options,设置端口. 2.查看本机360wifi的ip,使用ipconfig /all 命令,如下: 手机连接360wifi,并在已连接的wifi上长按,点击高级选项,设置上述ip和第一步设置的端口. 3.OK ,可以上网.

1.设置BurpSuite监听策略(和电脑区别不大就简单写了) 打开BurpSuite进入Proxy-Options界面,修改端口为8082.地址为第二项所有接口,点击OK 2.设置手机代理 首先保证手机和电脑用的是同一个WIFI,然后点击WIFI后面的详情,进行设置 进入WIFI详情界面,点击代理 代理选择手动 进入设置页面,填写电脑本机IP以及刚刚设置的端口号8082 查看电脑IP,使用Win+R,在cmd窗口输入ipconfig,设置完成后保存 3.给手机安装CA证书 打开浏览器输入htt

概述 冰蝎一款新型加密网站管理客户端,在实际的渗透测试过程中有非常不错的效果,能绕过目前市场上的大部分WAF.探针设备.本文将通过在虚拟环境中使用冰蝎,通过wireshark抓取冰蝎通信流量,结合平时在授权渗透中使用冰蝎马经验分析并总结特征. 版本介绍 目前冰蝎已经迭代6个版本下载地址,从最初的v1.0版本到目前最新的版本v2.0.1,其中v1.0版本可以从此处下载到. 冰蝎最初的版本对于环境的要求较为苛刻,仅支持部分环境,绝大部分环境中都无法连接成功,目前最新版本可使用范围有了较大的提升,PH

概述 冰蝎是一款新型动态二进制加密网站工具.目前已经有6个版本.对于webshell的网络流量侧检测,主要有三个思路.一:webshell上传过程中文件还原进行样本分析,检测静态文件是否报毒.二:webshell上线或建立连接过程的数据通信流量.三:webshell已连接后执行远程控制命令过程的数据通信流量.本文通过分析多个历史冰蝎版本及五种脚本(asp|aspx|jsp|jspx|php),结合第二点检测冰蝎上线的静态特征,并总结部分snort规则. 冰蝎通讯原理 冰蝎采用AES加密,很多文章

在写SDN控制器应用或者改写控制器源码的时候,经常需要抓包,验证网络功能,以及流表的执行结果等等,wireshark是个很好的抓包分析包的网络工具,下面简介如何用wireshark软件抓取OpenFlow数据包 一. wireshark2.0.0 wireshark2.0.0直接内置了OpenFlow协议,只需要安装wireshark2.0.0即可. 在安装wireshark之前需要安装一些依赖包: sudo apt-get install bison flex libpcap-dev gcc

1.管理员运行cmd 右键左下角windows图标,管理员运行Windows PowerShell 2.输入ipconfg查看本机ip和网关ip 3.执行命令 route add 本机ip mask 255.255.255.255 网关ip 4.打开wireshark即可抓取本地的请求包 5.使用完成之后,使用route delete 本机ip mask 255.255.255.255 网关ip来删除更改,不然所有报文都会先经过网卡再回到本机,会比较消耗性能. 注:调用时,不能使用localho

使用Fiddler抓取手机APP流量--360WIFI 操作步骤:1.打开Fiddler,Tools-Fiddler Options-Connections,勾选Allow remote computers to connect,端口为8888:2.防火墙开放端口8888:2.在电脑上查看360wifi无线网卡IP地址,运行命令ipconfig /all,查看无线局域网适配器的IP信息192.168.1.100:3.手机wifi中设置代理为步骤2中的IP地址192.168.1.100,端口为步骤

Wireshark 是一个网络封包分析软件.网络封包分析软件的功能是获取网络封包,并尽可能显示出最为详细的网络封包资料.Wireshark使用WinPCAP作为接口,直接与网卡进行数据报文交换. 一  安装和配置WireShark环境 1 安装 WireSharek 去官网上下载最新的而且稳定的版本 . https://www.wireshark.org/download.html 根据使用的操作系统类型,选择最新的稳定的版本 根据使用的操作系统类型,选择最新的稳定的版本,安装完成后进入wire