A-A+

针对php的web流量抓取、分析的应用

2019年04月29日 15:22 汪洋大海暂无评论共2748字 (阅读2,232 views次)

一个针对php的web流量抓取、分析的应用。

可供ctf线下赛使用，也可用于实际场景来抓web流量、分析攻击手段。

目前主要功能如下：

完整http报文请求抓取，同时进行对可能存在的攻击进行分类，通过文件存储模拟出数据库，适应各种场合。
根据hash判断流量是否重复，只记录次数和最新一次的请求包，减少存储空间的占用以及流量分析的成本。
4个waf等级，推荐使用1等级，不会影响应用的正常运行，还可以抵御绝大多数的常见攻击。
设置flag获取命令，通过分析页面返回判断是否被读取了flag，从而替换掉flag（有些场合可能无法使用），将此流量标记为危险流量，同时攻击者ip加入黑名单，永久ban掉（可从黑名单去除）。
黑白名单模式，可以手动添加，选择白名单模式，则服务正常通过给白名单机器，其他机器全部拦截。
可根据ip、时间筛选出想要查看的对应日志。
通过分析是否为危险流量，统计相同流量出现次数，显示出最可能是最终payload的流量排行。
一键生成ctf线下赛exp（获取flag+自动提交flag），快人一步进行攻击（除了正常攻击流量外，exp中还包含大量垃圾混淆流量）
删除并压缩备份选中的流量。
因流量转发太过不公平，不考虑添加。

使用方法：

   cd /var/www/html/ (or other web dir)
   
   git clone https://github.com/wupco/weblogger.git
   
   chmod -R 777 weblogger/
   
   open http://xxxxx/weblogger/install.php in Web browser
   
   install it

更详细说明和帮助： https://gist.github.com/wupco/ee26f88656fbf36d014f49b4ac47ddc8

说明:

weblogger 分为静态文件群和动态文件群：

动态文件群：

所有流量数据与脚本模板均存储在tmp目录下，所以要保证tmp目录的持续可写。

静态文件群：

web管理页面存在web目录下的一个新建文件中，所以要保证web目录的可写(待install.php生成管理文件结束后可设置目录不可写)

软件地址：https://github.com/wupco/weblogger

更详细的介绍请看下面：

在web目录或其他目录 git clone https://github.com/wupco/weblogger.git 注意给当前目录可写..不然clone不进来
给目录权限，可以给777，因为这个目录没用，安装完会自动销毁
检查自己的php.ini，有没有禁用掉system等系统函数(disable_functions)，如果禁用了，暂时先打开，因为安装时移动文件的操作用的是system("mv xxx")；
打开浏览器安装

这里的数据存储路径就是数据部分存储的位置，建议采用类似tmp目录一样的各种权限都有的目录，方便处理。web根目录则是输出管理页面的位置，这个目录一定要有写权限。

因为环境的问题，有的php-fpm将每个Web用户的tmp文件都放在沙箱隔离，导致后来写入tmp下的文件实际路径不在tmp下，这种情况建议按照 https://www.cnblogs.com/lihuobao/p/5624071.html 解决，也可以将数据部分写入 /var/tmp/下

获取flag的命令用于读取flag来自动替换别人读到的flag，从而让其他人读不到正确的flag，所以输入一个可以读到flag的系统命令即可。账号密码是管理页面的账号密码，尽量不要弱口令，填一个比较难爆破的。

出现这个页面代表安装成功了，这时你先别关掉这个页面，去检查一下你的web目录下git clone的那个目录还存在不存在，正常会进行自我销毁，如果没销毁成功，应该是某些权限配置不对或者system被禁用了。

上面那个tmp的路径用来在web入口处包含下面的是管理页面的路径

在web入口处或指定文件包含第一行的文件

在index.php 代码中插入 require_once('/tmp/33253f64133730fabaa52a487ff98740/weblogpro.php'); 就ok了

下面的命令可以批量包含

find /var/www/html/ -path /var/www/html/124687a7bc37d57cc9ecd1cbd9d676f7 -prune -o  -type f -name '*.php'|xargs  sed -i '1i<?php require_once("/tmp/33253f64133730fabaa52a487ff98740/weblogpro.php");?>'