中国菜刀2019最新版秒过WAF 官网正版

"6月18号，某牛在微信朋友圈发了信息:

　　史上最牛逼的中国菜刀将要公布，过市面全部的 waf，并且把 webshell 玩上给你目瞪口呆的人生境界

　　那时候有信息称 6 月末将会公布新版本水果刀。

　　果不其然，在 6 月 30 日，本来早已关掉的 maicaidao.Com 又对外开放了，并且注册量一瞬间就上了 660 +。

　　话少说，赶快下裁1个感受这波究竟有多厉害。

　　稿子公布时站名又关掉了，主要缘故不得而知。?

　　特别注意：水果刀的惟一官方网站是：?WWW.maicaidao.Com

　　文档表明

　　caidao.exe 水果刀程序流程

　　sbt.mdb 水果刀的主数据库查询

　　caidao.conf 配置文件（关键，不要再删掉）

　　cache.tmp 水果刀的缓存文件数据库查询(可删掉)

　　readme.txt 表明文本文档(可删掉)

　　IP地址.dat 1个iP库，用以ip地址鉴别(可删掉)

　　CCC 水果刀的自写脚本制作文件目录(可删掉)

　　Customize 方式的服务器端(可删掉)

　　人们能够发觉，最新版本中关键是多了 caidao.conf，这一配置文件，这一文档创作者自个的点评是“关键，不要再删掉”。而药粒君感觉这一其实小小1个修改，以至于能够让中国菜刀起死回生，秒过 waf。

　　人们了解，水果刀的源码不是公布的，不久终止升级之后，各种各样 waf 都对其数据文件开展了里三层外三层的剖析。在那时候里，想做到过 waf，一般有下边这几类作法：

　　1.?过 waf 一段话。根据形变，搞混一段话 webshell 躲过查验。(随后就出了对post请求开展剖析的 waf)

　　2.?反编译改动分包特点过 waf。这类方式成本费相对来说高，你可以会反向呀，随后也有个难堪的难题是你能改的地区确实是有限公司。

　　3.?转站脚本制作改动数据文件过 waf。这类方式应当是用水果刀过 waf 用的数最多并且便捷的了。可是你得要开1个转站的 web 服务项目，我的尴尬症又犯了。

　　更是由于有诸多不便，再加水果刀自身不可以跨平台，近几年来开源系统的 webshell 可视化工具不断涌现，典型性的有药粒盆友蚁逅开发设计的?AntSword(我国蚁剑), 应用 nodejs 与 ES6 开发设计，跨平台，而且开源系统。及其?Altman，应用 C++ 开发设计，适用跨平台，源码也早已在 github 开源系统。也有javas 开发设计的开源系统 webshell 管理系统软件?Cknife。诸如此类手机软件相当于之多了。

　　还好，来跟药粒君一块儿看一下怎样轻松玩这一 caidao.conf 吧。

　　caidao.conf

　　对，我得事前举个例子，水果刀能过 waf 的前提条件，就是你必须会改这种配备，要不然，你手上的只有是锈蚀了的水果刀。

　　1. 

　　回到的內容分隔符，仅限3个空格符。人们了解原先的切分符是 ->| 与 |<-, 一些 waf 会阻拦这一空格符，因此，人们能够用生辟点的空格符，例如 ~>$。

　　2. <UA>

　　订制 .com post请求中的 User-Agent 一部分，人们见到默认设置的 caidao.conf 上将 UA 改为了百度爬虫的 UA, 或许你能改为 谷歌 的嘛。一些那时候必须修改，绝大多数状况下这一主要参数能够无需改。

　　3. <K1> 与 <K2>

　　POST的主要参数名字，默认设置状况下, K1 是 z1，K2 是 z2。通常状况下，waf 是不容易拦这一，因此能够无需改。

　　11. <Python_BASE>, <ASP_BASE>, <ASPX_BASE>, <Python_BASE.数据加密实例>

　　这4个是 webshell 的基本编码一部分，全部的作用编码都是发至这儿开展拼装，随后发送至服务器端去。

　　当你服务器端的 webshell 干了一层层加解密实际操作，例如服务器端编码是那样的

　　全句智能化原創Python @eval(base64_decode($_POST['caidao']));?>

　　那么，我也能够这里改动配备为

　　<Python_BASE.数据加密实例>eval(base64_decode($_POST[Id]));&Id=%sPHP_BASE.数据加密实例>。

　　能够承担责任的讲，免杀，过 waf 绝大多数全是在这里作文章的，后边基础全是某些作用涵数，waf 通常是不容易杀的，他如果敢杀，就证明材料他的业务流程中不用哪类实际操作。

　　这儿就有趣了，你要，之前的水果刀只能1个 base64_decode 那如今，我也能够随意改了，例如，你用 hex, 再例如你能用凯撒密码，又或是是栅栏密码，再太过点，你能用 AES, DES，最太过的就是说自个写1个加密解密的优化算法。那么 waf 想拦就好尴尬了。（创作者说的过 waf 大约就是说这层含意吧）

　　4. 

　　获得基本信息内容的作用编码。例如你加上完 shell, 立即去虚似