1. 项目概述与核心价值在渗透测试和红队评估的实战中Web应用防火墙WAF是横亘在攻击路径上的一道常见且棘手的屏障。它像一位警觉的哨兵时刻分析着进出应用的流量一旦检测到类似SQL注入、命令执行、文件上传等恶意载荷的特征便会毫不犹豫地拦截请求甚至直接封禁源IP。对于安全从业者而言这既是挑战也是必须掌握的基本功——如何在不触发警报的前提下将测试载荷精准送达目标。今天要聊的就是围绕“中国蚁剑”这款经典的Webshell管理工具探讨如何通过其内置的编码器与灵活的代理配置功能巧妙地绕过WAF的检测机制。这并非鼓励恶意攻击而是从防御者视角出发深入理解攻击者的规避手法从而构建更坚固的防御体系。中国蚁剑AntSword因其开源、模块化、支持多种脚本类型如PHP、ASP、JSP而广受欢迎。但默认的、未经处理的通信流量在如今稍具规模的WAF面前几乎无所遁形。因此掌握其高级玩法核心在于两点一是对通信内容进行“变形”即使用编码器二是对通信路径进行“伪装”或“中转”即配置代理。本文将深入拆解这两个核心功能并结合BurpSuite这一中间人代理工具演示如何构建一个从本地到目标服务器的、可被深度分析和控制的完整测试链路。无论你是刚入门的安全测试新手还是想深化工具理解的老手这套组合拳都能让你在授权测试中更加游刃有余也更透彻地理解攻防对抗的本质。2. 核心思路编码与代理的双重奏要绕过WAF我们不能寄希望于WAF规则存在漏洞而应主动改变我们自身的特征。这背后的核心思路可以概括为“变形”与“中转”。2.1 编码器载荷的“变形术”WAF的检测逻辑很大程度上依赖于特征匹配。一个经典的system($_GET[‘cmd’])调用其字符串特征非常明显。编码器的作用就是在蚁剑将指令发送给Webshell之前对指令和数据进行一次或多次编码转换使其在HTTP请求体中呈现为另一副模样。例如将明文指令先进行Base64编码再进行Hex编码最后或许再混入一些无关字符。这样一来网络流量中看到的可能是一串杂乱无章的十六进制字符串而Webshell端在接收到后会按照预先约定好的解码顺序Hex解码 - Base64解码将其还原为可执行的代码。关键在于这种编解码规则必须在蚁剑客户端和服务器端的Webshell中保持一致。蚁剑内置了如Base64、Rot13、Hex等多种编码器也支持自定义。更高级的用法是使用“随机编码器”它在每次请求时动态选择一种编码方式使得每次流量的特征都不同极大增加了WAF基于固定模式进行检测的难度。2.2 代理配置流量的“中转站”与“观察窗”仅仅对内容变形还不够流量的源头和路径本身也可能暴露风险。直接连接可能因为高频、异常行为被目标主机或网络层的IDS/IPS标记。此时代理配置就派上了用场。匿名性与规避IP封锁通过配置SOCKS或HTTP代理可以让流量经由代理服务器发出隐藏测试者的真实出口IP。即使某个请求被WAF拦截并封禁IP被封禁的也只是代理服务器的IP。流量分析与中间操控这是与BurpSuite联动的精髓所在。将蚁剑的代理设置为BurpSuite监听的本地端口如127.0.0.1:8080。这样蚁剑发出的所有请求都会先经过BurpSuite。在BurpSuite中我们可以观察明文尽管蚁剑发送的是编码后的数据但BurpSuite在转发前可以看到其原始形态方便我们分析编码是否有效、载荷结构如何。二次修改可以在BurpSuite的Repeater模块中对拦截的请求进行手动修改比如尝试不同的编码、添加或删除某些HTTP头如X-Forwarded-For、改变参数位置从Body移到Header等进行更精细的绕过测试。会话管理方便地管理Cookies、进行身份认证重放等复杂测试。2.3 组合策略112最有效的绕过方式往往是组合拳。一个典型的流程是在蚁剑中为Webshell连接配置一个强混淆的编码器如自定义的异或编码同时将代理设置为BurpSuite。这样原始指令被编码器变形变形后的流量经过BurpSuite可供我们分析调试最后由BurpSuite转发给目标。即使目标存在WAF它看到的也是经过层层处理的“陌生”流量从而提高了绕过成功率。3. 蚁剑编码器深度解析与实战配置理解了思路我们来具体操作。首先从编码器开始这是改变流量内容特征的第一步。3.1 内置编码器与工作机制蚁剑的编码器位于Webshell连接配置的“高级设置”中。以PHP类型的Webshell为例其默认的通信模式是蚁剑发送一段经过编码的PHP代码给WebshellWebshell执行后返回结果蚁剑再解码显示。Base64编码器最基础也最常用。它将指令代码进行Base64编码后发送。对应的Webshell如ant.jsp或ant.php内置了Base64解码逻辑。优点是简单通用但特征也明显因为Base64字符串有特定的字符集和填充模式容易被规则匹配。Hex编码器将原始代码的每个字符转换为两位十六进制数。例如phpinfo();会变成706870696e666f28293b。这比纯文本隐蔽但连续的十六进制数字串也可能触发简单的规则。Rot13编码器一种简单的字母替换密码。它对字母字符进行偏移对数字和符号无效因此混淆能力有限通常不单独用于绕过WAF但可以与其他编码组合。注意编码器的选择必须与Webshell类型匹配。蚁剑在加载Webshell时会根据你选择的编码器类型自动匹配服务器上相应的Webshell文件如ant.php对应默认编码。如果自定义编码器必须同时修改客户端编码脚本和服务器端Webshell的解码逻辑。3.2 自定义编码器开发指南当内置编码器无法满足需求时就需要自定义。蚁剑的自定义编码器本质上是一个JavaScript模块需要放置在蚁剑的antSword/antData/encoder/目录下。一个自定义编码器脚本的基本结构如下// 文件名my_xor.js ‘use strict‘; // 编码函数处理发送给Webshell的数据 module.exports (pwd, data, ext{}) { // pwd: 连接配置中的密码可用于密钥生成 // data: 要发送的数据对象其中 data[‘_’] 是待编码的核心代码 let encoded_shell Buffer.from(data[‘_’]).toString(‘hex‘); // 示例先转Hex // 假设做一个简单的异或混淆密钥为0xAA let xor_key 0xAA; let xor_encoded ‘‘; for(let i0; iencoded_shell.length; i) { xor_encoded String.fromCharCode(encoded_shell.charCodeAt(i) ^ xor_key); } // 将处理后的数据放回蚁剑会将其作为HTTP POST的body发送 data[‘_’] Buffer.from(xor_encoded).toString(‘base64‘); // 再Base64编码 // 可以同时处理其他参数如‘php代码‘参数名 if(data[‘php代码‘]){ data[‘php代码‘] Buffer.from(data[‘php代码‘]).toString(‘base64‘); } return data; // 返回处理后的数据对象 } // 解码函数可选用于处理Webshell返回的结果 module.exports.decode (pwd, data, ext{}) { // 这里实现与编码相反的过程 // data 是Webshell返回的原始字符串 try { let decoded Buffer.from(data, ‘base64‘).toString(); let recovered ‘‘; let xor_key 0xAA; for(let i0; idecoded.length; i) { recovered String.fromCharCode(decoded.charCodeAt(i) ^ xor_key); } data Buffer.from(recovered, ‘hex‘).toString(); } catch(e) {} return data; }开发完成后在蚁剑添加Webshell连接时在“编码器”下拉菜单中就可以选择my_xor。最关键的一步服务器上的Webshell文件如ant.php也必须进行相应修改在其解码部分实现完全逆向的过程Base64解码 - 异或还原 - Hex解码 - 执行。3.3 随机化与多态编码策略静态编码规则一旦被WAF学习依然可能失效。更高级的策略是使用“随机编码器”或者编写一个编码器使其每次编码时都随机选择一种算法或随机生成密钥。例如可以在编码函数中随机生成一个异或密钥并将这个密钥以某种方式如放在HTTP请求头的某个自定义字段里传递给WebshellWebshell根据头信息中的密钥进行解密。这样每次通信的密文都不同特征极难捕捉。4. 代理配置详解从本地代理到BurpSuite联动配置代理是将流量导入可控分析环境的关键步骤。蚁剑支持HTTP、HTTPS、SOCKS4/5等多种代理协议。4.1 基础代理设置在蚁剑的Webshell连接配置界面找到“代理设置”或“网络设置”选项卡。启用代理勾选“使用代理”复选框。代理类型根据你的代理服务器类型选择。如果使用BurpSuite选择HTTP或HTTPS如果目标站点是HTTPS且BurpSuite配置了CA证书解密通常选HTTP即可。代理服务器填写BurpSuite监听的地址通常是127.0.0.1。端口填写BurpSuite监听的端口默认是8080。身份验证如果代理服务器需要认证在此填写用户名和密码。BurpSuite默认无需认证。配置完成后测试连接。此时蚁剑所有对该Webshell的操作流量都会流经BurpSuite。4.2 BurpSuite侧的关键配置为了顺利接收并转发蚁剑的流量BurpSuite需要正确配置。启动代理监听打开BurpSuite进入Proxy-Options选项卡。确保Proxy listeners中有一个运行在127.0.0.1:8080的监听器。如果没有点击Add添加。拦截控制建议在测试初期将Proxy-Intercept设置为Intercept is off即不拦截请求让流量直接通过以便在HTTP history中查看所有历史记录避免操作被卡住。SSL/TLS处理如果目标网站是HTTPS需要安装BurpSuite的CA证书到系统或浏览器信任库并确保BurpSuite监听器的Request handling设置中Support invisible proxying配置正确以处理HTTPS流量。对于蚁剑这样的客户端有时需要手动将BurpSuite的CA证书导出并配置到蚁剑或系统的信任证书中否则可能遇到SSL错误。这是一个常见的坑点。实操心得在联动测试时经常遇到蚁剑显示“连接超时”或“代理错误”。排查顺序应是a) 确认BurpSuite监听端口是否开启且未被占用b) 关闭系统防火墙或添加出入站规则c) 检查蚁剑代理配置的IP和端口是否正确d) 如果是HTTPS站点检查证书问题。可以先用浏览器配置BurpSuite代理访问一个HTTP网站确保BurpSuite基础代理功能正常。5. 实战演练构建完整的WAF绕过测试链路现在我们将编码器和代理配置结合起来完成一次完整的实战模拟。假设我们已有一个上传了Webshellant.php的测试站点该站点部署了云WAF。5.1 环境准备与目标分析蚁剑已安装并准备好自定义编码器脚本my_xor.js放置于encoder目录。BurpSuite已启动监听127.0.0.1:8080拦截关闭。测试Webshell我们使用一个强化版的ant.php其解码部分支持我们自定义的异或Base64解码逻辑。目标http://testvuln.com/shell.php(假设地址)5.2 步骤一配置蚁剑连接在蚁剑中添加新数据。URL地址填写http://testvuln.com/shell.php。连接密码填写Webshell中设定的密码。在“编码器”下拉框中选择我们上传的my_xor。在“代理设置”中启用代理类型HTTP服务器127.0.0.1端口8080。点击“测试连接”。此时不要急于看蚁剑是否连接成功先切换到BurpSuite。5.3 步骤二在BurpSuite中观察与调试切换到BurpSuite的HTTP history标签页。你应该能看到一条来自127.0.0.1的对/shell.php的POST请求。查看该请求的Raw格式。你会发现Body部分不再是可读的PHP代码而是经过我们编码器处理后的、看似杂乱无章的Base64字符串这是异或后再Base64的结果。关键分析对比观察。你可以暂时在蚁剑中禁用编码器选择default再次测试连接。然后在BurpSuite历史记录中找到新的请求对比两者的Body部分。前者是混淆后的后者是明文或简单编码的。这直观展示了编码器的“变形”效果。使用Repeater进行精细测试在历史记录中右键点击编码后的请求选择Send to Repeater。在Repeater标签中你可以手动修改这个请求。尝试修改编码将Body中的Base64字符串解码BurpSuite自带解码器你会得到一串乱码异或后的结果。你可以尝试修改这串乱码的某些字节再重新编码回Base64发送观察服务器响应。这有助于理解WAF是否对Body的特定位置或长度进行检测。尝试修改HTTP头添加一些常见的伪装头如X-Forwarded-For: 8.8.8.8,User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36... 或者将参数从Body移动到URL参数或自定义Header中这需要同步修改Webshell的接收逻辑。分块传输编码这是一个高级绕过技巧。在Repeater的请求上右键选择Extensions-Bypass WAF如果你安装了相关插件或手动添加Transfer-Encoding: chunked头并将Body转换为分块格式。有些WAF对分块传输的解析不完善可能绕过检测。5.4 步骤三验证绕过效果在BurpSuite的Repeater中修改并发送请求后查看响应。如果响应中包含了蚁剑预期的、Webshell返回的特定标识如一段包含antsword字样的JSON说明请求成功被执行且未被WAF拦截。 此时回到蚁剑界面如果之前的测试连接因WAF拦截而失败在应用了有效的编码和代理调试后重新测试连接很可能就会显示“连接成功”。之后你就可以通过蚁剑进行文件管理、命令执行等操作所有流量依然经过BurpSuite方便持续监控和审计。6. 常见问题排查与高级技巧在实际操作中你肯定会遇到各种问题。下面是一些典型问题及其解决思路。6.1 连接失败类问题问题现象可能原因排查步骤蚁剑提示“连接超时”1. 代理配置错误或代理服务未启动。2. 目标网络不通。3. 被WAF或主机防火墙丢弃。1. 检查BurpSuite监听器状态用浏览器测试代理是否通。2. 尝试直接访问目标URL不用代理。3. 在BurpSuite中查看是否有请求记录若有看响应状态码。蚁剑提示“无效的载荷”或“解码错误”1. 编码器不匹配。2. 自定义编码器脚本有bug。3. Webshell文件解码逻辑错误。1. 确认蚁剑选择的编码器与Webshell文件匹配。2. 在BurpSuite中查看发送的原始载荷手动模拟解码过程验证编解码逻辑一致性。3. 简化测试先用默认编码器确保基础通信正常。BurpSuite能看到请求但目标服务器无响应或返回非预期页面如WAF拦截页1. 编码混淆强度不足被WAF识别。2. 请求频率过高触发速率限制。3. Cookie或Session失效。1. 增强编码复杂度或尝试使用随机化编码。2. 在BurpSuite的Proxy-Options-Match and Replace中设置延迟或使用Intruder的节流功能。3. 检查请求中的会话标识是否有效。6.2 流量特征隐藏高级技巧模拟正常流量分析目标网站正常用户的请求模仿其User-Agent、Referer、Accept-Language等头部信息。在蚁剑的“请求配置”中可以自定义请求头。使用HTTPS代理如果条件允许配置一个远程的HTTPS代理服务器需自行搭建让流量先加密传输到代理再由代理转发到目标。这可以避免流量在本地网络被监控。动态参数名蚁剑默认使用固定的参数名如_、php代码。高级的自定义编码器可以动态生成每次请求使用的参数名Webshell根据约定规则去提取这能绕过对固定参数名的检测。流量多段分发将一条指令拆分成多个请求发送Webshell在服务端进行拼接和执行。这适用于对请求包长度或单包内容有严格检测的WAF。6.3 关于BurpSuite插件的利用BurpSuite拥有强大的插件生态可以辅助WAF绕过。Logger用于更详细地记录和分析所有经过BurpSuite的流量方便回溯和模式分析。Autorize用于测试权限绕过虽然不直接针对WAF但在整体渗透测试中很有用。Custom Payloads在Intruder模块中可以加载自定义的、经过各种编码的Payload字典进行模糊测试寻找WAF的规则盲点。绕过WAF是一个持续对抗的过程没有一劳永逸的银弹。今天有效的编码方式明天可能就被规则库收录。因此核心价值不在于记住某一种特定的编码或工具配置而在于掌握“分析-变形-测试-验证”的方法论。通过蚁剑的编码器和代理配置结合BurpSuite这样的分析工具我们构建了一个可循环迭代的测试环境。在这个环境里你可以安全、反复地试验各种绕过思路深度理解HTTP协议、Web应用安全机制以及防御产品的运作逻辑。这对于提升真正的安全攻防能力至关重要。记住所有测试都应在合法授权的范围内进行技术的提升是为了更好地防御。
蚁剑编码器与代理配置实战：绕过WAF检测的攻防技术解析
1. 项目概述与核心价值在渗透测试和红队评估的实战中Web应用防火墙WAF是横亘在攻击路径上的一道常见且棘手的屏障。它像一位警觉的哨兵时刻分析着进出应用的流量一旦检测到类似SQL注入、命令执行、文件上传等恶意载荷的特征便会毫不犹豫地拦截请求甚至直接封禁源IP。对于安全从业者而言这既是挑战也是必须掌握的基本功——如何在不触发警报的前提下将测试载荷精准送达目标。今天要聊的就是围绕“中国蚁剑”这款经典的Webshell管理工具探讨如何通过其内置的编码器与灵活的代理配置功能巧妙地绕过WAF的检测机制。这并非鼓励恶意攻击而是从防御者视角出发深入理解攻击者的规避手法从而构建更坚固的防御体系。中国蚁剑AntSword因其开源、模块化、支持多种脚本类型如PHP、ASP、JSP而广受欢迎。但默认的、未经处理的通信流量在如今稍具规模的WAF面前几乎无所遁形。因此掌握其高级玩法核心在于两点一是对通信内容进行“变形”即使用编码器二是对通信路径进行“伪装”或“中转”即配置代理。本文将深入拆解这两个核心功能并结合BurpSuite这一中间人代理工具演示如何构建一个从本地到目标服务器的、可被深度分析和控制的完整测试链路。无论你是刚入门的安全测试新手还是想深化工具理解的老手这套组合拳都能让你在授权测试中更加游刃有余也更透彻地理解攻防对抗的本质。2. 核心思路编码与代理的双重奏要绕过WAF我们不能寄希望于WAF规则存在漏洞而应主动改变我们自身的特征。这背后的核心思路可以概括为“变形”与“中转”。2.1 编码器载荷的“变形术”WAF的检测逻辑很大程度上依赖于特征匹配。一个经典的system($_GET[‘cmd’])调用其字符串特征非常明显。编码器的作用就是在蚁剑将指令发送给Webshell之前对指令和数据进行一次或多次编码转换使其在HTTP请求体中呈现为另一副模样。例如将明文指令先进行Base64编码再进行Hex编码最后或许再混入一些无关字符。这样一来网络流量中看到的可能是一串杂乱无章的十六进制字符串而Webshell端在接收到后会按照预先约定好的解码顺序Hex解码 - Base64解码将其还原为可执行的代码。关键在于这种编解码规则必须在蚁剑客户端和服务器端的Webshell中保持一致。蚁剑内置了如Base64、Rot13、Hex等多种编码器也支持自定义。更高级的用法是使用“随机编码器”它在每次请求时动态选择一种编码方式使得每次流量的特征都不同极大增加了WAF基于固定模式进行检测的难度。2.2 代理配置流量的“中转站”与“观察窗”仅仅对内容变形还不够流量的源头和路径本身也可能暴露风险。直接连接可能因为高频、异常行为被目标主机或网络层的IDS/IPS标记。此时代理配置就派上了用场。匿名性与规避IP封锁通过配置SOCKS或HTTP代理可以让流量经由代理服务器发出隐藏测试者的真实出口IP。即使某个请求被WAF拦截并封禁IP被封禁的也只是代理服务器的IP。流量分析与中间操控这是与BurpSuite联动的精髓所在。将蚁剑的代理设置为BurpSuite监听的本地端口如127.0.0.1:8080。这样蚁剑发出的所有请求都会先经过BurpSuite。在BurpSuite中我们可以观察明文尽管蚁剑发送的是编码后的数据但BurpSuite在转发前可以看到其原始形态方便我们分析编码是否有效、载荷结构如何。二次修改可以在BurpSuite的Repeater模块中对拦截的请求进行手动修改比如尝试不同的编码、添加或删除某些HTTP头如X-Forwarded-For、改变参数位置从Body移到Header等进行更精细的绕过测试。会话管理方便地管理Cookies、进行身份认证重放等复杂测试。2.3 组合策略112最有效的绕过方式往往是组合拳。一个典型的流程是在蚁剑中为Webshell连接配置一个强混淆的编码器如自定义的异或编码同时将代理设置为BurpSuite。这样原始指令被编码器变形变形后的流量经过BurpSuite可供我们分析调试最后由BurpSuite转发给目标。即使目标存在WAF它看到的也是经过层层处理的“陌生”流量从而提高了绕过成功率。3. 蚁剑编码器深度解析与实战配置理解了思路我们来具体操作。首先从编码器开始这是改变流量内容特征的第一步。3.1 内置编码器与工作机制蚁剑的编码器位于Webshell连接配置的“高级设置”中。以PHP类型的Webshell为例其默认的通信模式是蚁剑发送一段经过编码的PHP代码给WebshellWebshell执行后返回结果蚁剑再解码显示。Base64编码器最基础也最常用。它将指令代码进行Base64编码后发送。对应的Webshell如ant.jsp或ant.php内置了Base64解码逻辑。优点是简单通用但特征也明显因为Base64字符串有特定的字符集和填充模式容易被规则匹配。Hex编码器将原始代码的每个字符转换为两位十六进制数。例如phpinfo();会变成706870696e666f28293b。这比纯文本隐蔽但连续的十六进制数字串也可能触发简单的规则。Rot13编码器一种简单的字母替换密码。它对字母字符进行偏移对数字和符号无效因此混淆能力有限通常不单独用于绕过WAF但可以与其他编码组合。注意编码器的选择必须与Webshell类型匹配。蚁剑在加载Webshell时会根据你选择的编码器类型自动匹配服务器上相应的Webshell文件如ant.php对应默认编码。如果自定义编码器必须同时修改客户端编码脚本和服务器端Webshell的解码逻辑。3.2 自定义编码器开发指南当内置编码器无法满足需求时就需要自定义。蚁剑的自定义编码器本质上是一个JavaScript模块需要放置在蚁剑的antSword/antData/encoder/目录下。一个自定义编码器脚本的基本结构如下// 文件名my_xor.js ‘use strict‘; // 编码函数处理发送给Webshell的数据 module.exports (pwd, data, ext{}) { // pwd: 连接配置中的密码可用于密钥生成 // data: 要发送的数据对象其中 data[‘_’] 是待编码的核心代码 let encoded_shell Buffer.from(data[‘_’]).toString(‘hex‘); // 示例先转Hex // 假设做一个简单的异或混淆密钥为0xAA let xor_key 0xAA; let xor_encoded ‘‘; for(let i0; iencoded_shell.length; i) { xor_encoded String.fromCharCode(encoded_shell.charCodeAt(i) ^ xor_key); } // 将处理后的数据放回蚁剑会将其作为HTTP POST的body发送 data[‘_’] Buffer.from(xor_encoded).toString(‘base64‘); // 再Base64编码 // 可以同时处理其他参数如‘php代码‘参数名 if(data[‘php代码‘]){ data[‘php代码‘] Buffer.from(data[‘php代码‘]).toString(‘base64‘); } return data; // 返回处理后的数据对象 } // 解码函数可选用于处理Webshell返回的结果 module.exports.decode (pwd, data, ext{}) { // 这里实现与编码相反的过程 // data 是Webshell返回的原始字符串 try { let decoded Buffer.from(data, ‘base64‘).toString(); let recovered ‘‘; let xor_key 0xAA; for(let i0; idecoded.length; i) { recovered String.fromCharCode(decoded.charCodeAt(i) ^ xor_key); } data Buffer.from(recovered, ‘hex‘).toString(); } catch(e) {} return data; }开发完成后在蚁剑添加Webshell连接时在“编码器”下拉菜单中就可以选择my_xor。最关键的一步服务器上的Webshell文件如ant.php也必须进行相应修改在其解码部分实现完全逆向的过程Base64解码 - 异或还原 - Hex解码 - 执行。3.3 随机化与多态编码策略静态编码规则一旦被WAF学习依然可能失效。更高级的策略是使用“随机编码器”或者编写一个编码器使其每次编码时都随机选择一种算法或随机生成密钥。例如可以在编码函数中随机生成一个异或密钥并将这个密钥以某种方式如放在HTTP请求头的某个自定义字段里传递给WebshellWebshell根据头信息中的密钥进行解密。这样每次通信的密文都不同特征极难捕捉。4. 代理配置详解从本地代理到BurpSuite联动配置代理是将流量导入可控分析环境的关键步骤。蚁剑支持HTTP、HTTPS、SOCKS4/5等多种代理协议。4.1 基础代理设置在蚁剑的Webshell连接配置界面找到“代理设置”或“网络设置”选项卡。启用代理勾选“使用代理”复选框。代理类型根据你的代理服务器类型选择。如果使用BurpSuite选择HTTP或HTTPS如果目标站点是HTTPS且BurpSuite配置了CA证书解密通常选HTTP即可。代理服务器填写BurpSuite监听的地址通常是127.0.0.1。端口填写BurpSuite监听的端口默认是8080。身份验证如果代理服务器需要认证在此填写用户名和密码。BurpSuite默认无需认证。配置完成后测试连接。此时蚁剑所有对该Webshell的操作流量都会流经BurpSuite。4.2 BurpSuite侧的关键配置为了顺利接收并转发蚁剑的流量BurpSuite需要正确配置。启动代理监听打开BurpSuite进入Proxy-Options选项卡。确保Proxy listeners中有一个运行在127.0.0.1:8080的监听器。如果没有点击Add添加。拦截控制建议在测试初期将Proxy-Intercept设置为Intercept is off即不拦截请求让流量直接通过以便在HTTP history中查看所有历史记录避免操作被卡住。SSL/TLS处理如果目标网站是HTTPS需要安装BurpSuite的CA证书到系统或浏览器信任库并确保BurpSuite监听器的Request handling设置中Support invisible proxying配置正确以处理HTTPS流量。对于蚁剑这样的客户端有时需要手动将BurpSuite的CA证书导出并配置到蚁剑或系统的信任证书中否则可能遇到SSL错误。这是一个常见的坑点。实操心得在联动测试时经常遇到蚁剑显示“连接超时”或“代理错误”。排查顺序应是a) 确认BurpSuite监听端口是否开启且未被占用b) 关闭系统防火墙或添加出入站规则c) 检查蚁剑代理配置的IP和端口是否正确d) 如果是HTTPS站点检查证书问题。可以先用浏览器配置BurpSuite代理访问一个HTTP网站确保BurpSuite基础代理功能正常。5. 实战演练构建完整的WAF绕过测试链路现在我们将编码器和代理配置结合起来完成一次完整的实战模拟。假设我们已有一个上传了Webshellant.php的测试站点该站点部署了云WAF。5.1 环境准备与目标分析蚁剑已安装并准备好自定义编码器脚本my_xor.js放置于encoder目录。BurpSuite已启动监听127.0.0.1:8080拦截关闭。测试Webshell我们使用一个强化版的ant.php其解码部分支持我们自定义的异或Base64解码逻辑。目标http://testvuln.com/shell.php(假设地址)5.2 步骤一配置蚁剑连接在蚁剑中添加新数据。URL地址填写http://testvuln.com/shell.php。连接密码填写Webshell中设定的密码。在“编码器”下拉框中选择我们上传的my_xor。在“代理设置”中启用代理类型HTTP服务器127.0.0.1端口8080。点击“测试连接”。此时不要急于看蚁剑是否连接成功先切换到BurpSuite。5.3 步骤二在BurpSuite中观察与调试切换到BurpSuite的HTTP history标签页。你应该能看到一条来自127.0.0.1的对/shell.php的POST请求。查看该请求的Raw格式。你会发现Body部分不再是可读的PHP代码而是经过我们编码器处理后的、看似杂乱无章的Base64字符串这是异或后再Base64的结果。关键分析对比观察。你可以暂时在蚁剑中禁用编码器选择default再次测试连接。然后在BurpSuite历史记录中找到新的请求对比两者的Body部分。前者是混淆后的后者是明文或简单编码的。这直观展示了编码器的“变形”效果。使用Repeater进行精细测试在历史记录中右键点击编码后的请求选择Send to Repeater。在Repeater标签中你可以手动修改这个请求。尝试修改编码将Body中的Base64字符串解码BurpSuite自带解码器你会得到一串乱码异或后的结果。你可以尝试修改这串乱码的某些字节再重新编码回Base64发送观察服务器响应。这有助于理解WAF是否对Body的特定位置或长度进行检测。尝试修改HTTP头添加一些常见的伪装头如X-Forwarded-For: 8.8.8.8,User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36... 或者将参数从Body移动到URL参数或自定义Header中这需要同步修改Webshell的接收逻辑。分块传输编码这是一个高级绕过技巧。在Repeater的请求上右键选择Extensions-Bypass WAF如果你安装了相关插件或手动添加Transfer-Encoding: chunked头并将Body转换为分块格式。有些WAF对分块传输的解析不完善可能绕过检测。5.4 步骤三验证绕过效果在BurpSuite的Repeater中修改并发送请求后查看响应。如果响应中包含了蚁剑预期的、Webshell返回的特定标识如一段包含antsword字样的JSON说明请求成功被执行且未被WAF拦截。 此时回到蚁剑界面如果之前的测试连接因WAF拦截而失败在应用了有效的编码和代理调试后重新测试连接很可能就会显示“连接成功”。之后你就可以通过蚁剑进行文件管理、命令执行等操作所有流量依然经过BurpSuite方便持续监控和审计。6. 常见问题排查与高级技巧在实际操作中你肯定会遇到各种问题。下面是一些典型问题及其解决思路。6.1 连接失败类问题问题现象可能原因排查步骤蚁剑提示“连接超时”1. 代理配置错误或代理服务未启动。2. 目标网络不通。3. 被WAF或主机防火墙丢弃。1. 检查BurpSuite监听器状态用浏览器测试代理是否通。2. 尝试直接访问目标URL不用代理。3. 在BurpSuite中查看是否有请求记录若有看响应状态码。蚁剑提示“无效的载荷”或“解码错误”1. 编码器不匹配。2. 自定义编码器脚本有bug。3. Webshell文件解码逻辑错误。1. 确认蚁剑选择的编码器与Webshell文件匹配。2. 在BurpSuite中查看发送的原始载荷手动模拟解码过程验证编解码逻辑一致性。3. 简化测试先用默认编码器确保基础通信正常。BurpSuite能看到请求但目标服务器无响应或返回非预期页面如WAF拦截页1. 编码混淆强度不足被WAF识别。2. 请求频率过高触发速率限制。3. Cookie或Session失效。1. 增强编码复杂度或尝试使用随机化编码。2. 在BurpSuite的Proxy-Options-Match and Replace中设置延迟或使用Intruder的节流功能。3. 检查请求中的会话标识是否有效。6.2 流量特征隐藏高级技巧模拟正常流量分析目标网站正常用户的请求模仿其User-Agent、Referer、Accept-Language等头部信息。在蚁剑的“请求配置”中可以自定义请求头。使用HTTPS代理如果条件允许配置一个远程的HTTPS代理服务器需自行搭建让流量先加密传输到代理再由代理转发到目标。这可以避免流量在本地网络被监控。动态参数名蚁剑默认使用固定的参数名如_、php代码。高级的自定义编码器可以动态生成每次请求使用的参数名Webshell根据约定规则去提取这能绕过对固定参数名的检测。流量多段分发将一条指令拆分成多个请求发送Webshell在服务端进行拼接和执行。这适用于对请求包长度或单包内容有严格检测的WAF。6.3 关于BurpSuite插件的利用BurpSuite拥有强大的插件生态可以辅助WAF绕过。Logger用于更详细地记录和分析所有经过BurpSuite的流量方便回溯和模式分析。Autorize用于测试权限绕过虽然不直接针对WAF但在整体渗透测试中很有用。Custom Payloads在Intruder模块中可以加载自定义的、经过各种编码的Payload字典进行模糊测试寻找WAF的规则盲点。绕过WAF是一个持续对抗的过程没有一劳永逸的银弹。今天有效的编码方式明天可能就被规则库收录。因此核心价值不在于记住某一种特定的编码或工具配置而在于掌握“分析-变形-测试-验证”的方法论。通过蚁剑的编码器和代理配置结合BurpSuite这样的分析工具我们构建了一个可循环迭代的测试环境。在这个环境里你可以安全、反复地试验各种绕过思路深度理解HTTP协议、Web应用安全机制以及防御产品的运作逻辑。这对于提升真正的安全攻防能力至关重要。记住所有测试都应在合法授权的范围内进行技术的提升是为了更好地防御。
