WAF攻防-菜刀&冰蝎&哥斯拉&流量通讯&特征绕过&检测反制&感知

• 菜刀-流量&绕过&特征&检测
• 冰蝎-流量&绕过&特征&检测
• 哥斯拉-流量&绕过&特征&检测

#菜刀-流量&绕过&特征&检测
1、版本
2014 $_POST=$_REQUEST 2016 可以
2、特征：
数据包流量特征：
1，请求包中：ua头为百度爬虫
2，请求体中存在eval，base64等特征字符
3，请求体中传递的payload为base64编码，并且存在固定的QGluaV9zZXQoImRpc3BsYXlfZXJyb3JzIiwiMCIpO0BzZXRfdGltZV9saW1pdCgwKTtpZihQSFBfVkVSU0lPTjwnNS4zLjAnKXtAc2V0X21hZ2ljX3F1b3Rlc19ydW50aW1lKDApO307ZWNobygiWEBZIik7J

#冰蝎-流量&绕过&特征&检测
0、介绍
冰蝎利用了服务器端的脚本语言加密功能，通讯的过程中，
消息体内容采用 AES 加密，基于特征值检测的安全产品无法查出。
1、通讯
以代码Key为密匙的AES加密解密过程
2、
特征：
0、User-agent：代码中定义
1、Pragma: no-cache
2、Content-Type：application/x-www-form-urlencoded
3、Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
4、Accept-Encoding: gzip, deflate, br
5、Accept-Language: zh-CN,zh;q=0.9,en-US;q=0.8,en;q=0.7

#哥斯拉-流量&绕过&特征&检测
1、通讯加密见图
2、特征：
1、User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:84.0) Gecko/20100101 Firefox/84.0
2、Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
3、Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
4、Cookie: PHPSESSID=rut2a51prso470jvfe2q502o44;  cookie最后面存在一个";"