第180篇：蓝队分析取证工具箱 V5.11，新增自动化解密、流程图展示等功能

取证与溯源

2026年11月12日 18:32
天津

去阅读

以下文章来源于希潭实验室
，作者abc123info

希潭实验室
.

ABC\_123，2008年入行网络安全，希潭实验室创始人，某工业大学客座教授，某部委授课讲师、省级专家裁判，省评标专家。专注于安全咨询、网络安全培训、APT技战法分析、代码审计、渗透测试。

Part1 前言

大家好，我是ABC\_123。最近抽时间，结合网友们的反馈，对蓝队工具箱的各个功能进行了大幅度的升级。加入了自动化解密Webshell流量的功能、大幅度提升pcap包分析功能、加入可视化流程图功能、jwt token分析功能等。

Part2 技术研究过程

• 更新内存马反编译分析功能

可以对不同加密类型的内存马进行反编译分析，此次更新添加了\"查看代码流程图功能\"，新增python bytes、Base64+zip.Inflater编码的内存马反编译功能。

• 更新Java反序列化分析功能

添加\"查看代码流程图\"功能，新增python bytes、Base64+zip.Inflater编码的反序列化数据包分析功能。

• 漏洞分析添加流程图展示功能

新增\"对象关系图\"展示功能。新增宝兰德bes中间件、帆软、浪潮GS、Hessian等反序列化数据包的分析功能，方便溯源分析攻击者的攻击行为。

点击开始\"解密按钮\"，会自动化生成流程图，也可以导出PNG格式的流程图，放到溯源分析报告中。

• 全自动解密功能

点击\"全量自动解密\"按钮，可以对粘贴的数据包，自动识别出主流的Webshell的流量并解析；也可以\"使用密码字典自动化解密加密流量\"按钮进行爆破猜解key，然后还原出明文数据包。

• Webshell自动解密，添加UI展示功能

点击\"自动解密\"按钮，可以对主流的Webshell的数据包进行解密，无需手工选择数据包；新增魔蝎1.5版本、GTWebShell、旧版彼岸花等Webshell的加密流量解密功能。新增webshell流量返回数据包的\"UI界面展示\"功能。

如果返回数据包显示攻击者尝试翻查目录，可以直接树形框显示出目录、文件的属性结构等，看起来更加直观。

• 更新流量包分析功能，速度大幅提升

花费很大精力，解决流量包分析功能的性能问题，分析10几个G的Pcap包也没有问题。

加入了大量的pcap流量包的统计分析展示能力，包括IP分析展示、XXF的ip地址统计、会话分析、主机活动时间线、攻击行为分析、TCP标志位统计、流量画像、HTTP画像等等。

• 更新溯源反制功能

针对NPS代理反制功能，针对3种情况都进行分析反制。

• 新增编码/解码功能

大幅度优化\"JWT Token编码/解码\"功能、红队常用的编码功能。

大幅度融合各个\"XSS编码/解码\"功能，不再使用调用本地html页面的方式，改用java代码全部仿照重写。

• 更新机器学习识别DGA域名功能

用本机显卡重新跑的4个机器学习模型，提升DGA域名识别的准确度。

Part3 总结

1.  蓝队分析取证工具箱后续会继续添加新的分析功能，敬请期待。

2.  关注公众号\"希潭实验室\"，回复\"蓝队\"，即可得到此工具的下载地址。

3.  欢迎大家扫码加入知识星球希水涵@信安知识库，进入星球内部交流群，一起学习进步！

为了便于技术交流，现已建立微信群\"希水涵-信安技术交流群\"，欢迎您的加入。

公众号专注于网络安全技术分享，包括APT事件分析、红队攻防、蓝队分析、渗透测试、代码审计等，每周一篇，99%原创，敬请关注。

Contact me: 0day123abc#gmail.com

OR 2332887682#qq.com

(replace # with @)