流量特征分析——蚁剑、菜刀、冰蝎

在网络安全领域，了解常见的攻击工具流量特征对于及时发现和应对威胁至关重要。本文将重点研究菜刀、蚁剑和冰蝎这三种常见的网络攻击工具，分析它们在流量中留下的痕迹和特征，以便网络管理员和安全专家能够更好地识别和对抗这些工具所带来的潜在威胁。

第一部分：蚁剑
蚁剑（AntSword）是一款功能强大的跨平台渗透测试工具，被广泛用于攻击和渗透测试活动。以下是蚁剑的一些流量特征：

1. 流量特征主要表现在数据包的加密方式和数据类型。蚁剑使用了AES加密算法对数据进行加密，同时还使用了自定义的二进制协议，在通信中传输各种类型的数据
2. 默认的USER-agent请求头 是 antsword xxx，但是 可以通过修改:/modules/request.js 文件中 请求UA绕过。
3. 其中流量最中明显的特征为@ini_set("display_errors"，"0");这段代码基本是所有webshe11客户端链接PHP类Webshe11都有的一种代码 。
4. 蚁剑混淆加密后还有一个比较明显的特征,即为参数名大多以“0x加密后”“这种形式(下划可换》，所以以-0x开头的参数也很可能就是恶意流量。

ctrl+shift+u

url解码

第二部分：菜刀
菜刀（Cknife）是一款广泛使用的远程管理工具，多用于网络攻击和渗透测试中。它的流量特征主要包括以下几个方面：

1. 主要表现在HTTP协议上，使用HTTP协议通信，控制命令和数据都通过POST请求传输。因此，可以通过HTTP请求头中的User-Agent、Referer等信息进行识别，eval函数必不可少，有可能会被assert代替。
2. 使用了base64的方式加密了发送给“菜刀马”的指令，其中的两个关键payload z1和z2，这个名字是可变的 。

第三部分：冰蝎
冰蝎（Cobalt Strike）是一款知名的渗透测试工具，广泛用于APT攻击和红队演练。以下是冰蝎的一些流量特征：

1. 流量特征主要表现在数据包中的特殊标记和传输的数据类型。冰蝎的数据包中包含了特定的标记，如"flag=0x52415631"，用于标识该数据包是冰蝎的控制命令。此外，冰蝎还使用了一种自定义的二进制协议，在通信中传输各种类型的数据
2. 看包没有发现什么特征，但是可以发现它是POST请求的appication/xhtm1+xmlapplication/xmlapplication/signe1、Accept头有d-exchange属于弱特征 (UA头的浏览器版本很老)2、特征分析Content-Type: application/octet-stream 这是-个强特征查阅资料可知octet-stream的意思是，只能提交二进制，而日只能提交一个三进制，如果提交文件的话，只能提交一个文件，后台接收参数只能有一个，而且只能是流(或者字节数组) ; 很少使用14。
3. 默认内置16个user-agent头。
4. content-length请求长度，对于文件上传、命令执行来说加密参数不定长；但是对获取基本信息的payload都定长。

结论:
通过对这三种常见的网络攻击工具流量特征的分析，我们可以更好地了解它们在网络流量中的表现。网络管理员和安全专家可以根据这些特征来识别和监测潜在的攻击活动，并及时采取相应的防护措施。同时，持续的学习和了解新兴攻击工具的流量特征也是保持网络安全的重要一环。

 请关注微信公众号获取最新内容。