冰蝎2.0流量特征：
- 使用AES加密 + base64编码，AES会协商一个随机密钥进行加密
- 内置了十几个User-Agent头，每次请求时会随机选择其中的一个。因此当发现一个ip的请求头中的user-agent在频繁变换，就可能是冰蝎。
文件下载地址：
https://gitee.com/fengerxi/large-set-of-ctf-flow-problems/tree/master/3.流量日志分析分类/3.冰蝎/1.冰蝎2.0_php流量这条命令筛选出HTTP请求：
http看到有个冰蝎字样的请求：
再看看请求包体，是AES加密，判断是冰蝎：
如果是冰蝎2.0，前几个请求会协商AES的key，在前几个请求翻了一下，发现一个疑似AES key的东西：
找一个在线AES解密的试试，偏移量随便填，能成功解密：
对最后一个包进行解密：
得到一串base64，解码就是flag
原文始发于微信公众号（赛博安全狗）：【HW蓝队面试必问系列】冰蝎2.0流量分析（附流量文件下载地址）
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论