第180篇：蓝队分析取证工具箱 V5.11，新增自动化解密、流程图展示等功能
原创 abc123info 2026-11-12 17:56 山东
Part1 前言
大家好，我是ABC_123。最近抽时间，结合网友们的反馈，对蓝队工具箱的各个功能进行了大幅度的升级。加入了自动化解密Webshell流量的功能、大幅度提升pcap包分析功能、加入可视化流程图功能、jwt token分析功能等。
Part2 技术研究过程
- 更新内存马反编译分析功能
可以对不同加密类型的内存马进行反编译分析，此次更新添加了"查看代码流程图功能"，新增python bytes、Base64+zip.Inflater编码的内存马反编译功能。
更新Java反序列化分析功能
添加"查看代码流程图"功能，新增python bytes、Base64+zip.Inflater编码的反序列化数据包分析功能。
漏洞分析添加流程图展示功能
新增"对象关系图"展示功能。新增宝兰德bes中间件、帆软、浪潮GS、Hessian等反序列化数据包的分析功能，方便溯源分析攻击者的攻击行为。
点击开始"解密按钮"，会自动化生成流程图，也可以导出PNG格式的流程图，放到溯源分析报告中。
全自动解密功能
点击"全量自动解密"按钮，可以对粘贴的数据包，自动识别出主流的Webshell的流量并解析；也可以"使用密码字典自动化解密加密流量"按钮进行爆破猜解key，然后还原出明文数据包。
Webshell自动解密，添加UI展示功能
点击"自动解密"按钮，可以对主流的Webshell的数据包进行解密，无需手工选择数据包；新增魔蝎1.5版本、GTWebShell、旧版彼岸花等Webshell的加密流量解密功能。新增webshell流量返回数据包的"UI界面展示"功能。
如果返回数据包显示攻击者尝试翻查目录，可以直接树形框显示出目录、文件的属性结构等，看起来更加直观。
更新流量包分析功能，速度大幅提升
花费很大精力，解决流量包分析功能的性能问题，分析10几个G的Pcap包也没有问题。
加入了大量的pcap流量包的统计分析展示能力，包括IP分析展示、XXF的ip地址统计、会话分析、主机活动时间线、攻击行为分析、TCP标志位统计、流量画像、HTTP画像等等。
更新溯源反制功能
针对NPS代理反制功能，针对3种情况都进行分析反制。
新增编码/解码功能
大幅度优化"JWT Token编码/解码"功能、红队常用的编码功能。
大幅度融合各个"XSS编码/解码"功能，不再使用调用本地html页面的方式，改用java代码全部仿照重写。
更新机器学习识别DGA域名功能
用本机显卡重新跑的4个机器学习模型，提升DGA域名识别的准确度。
Part3 总结
1. 蓝队分析取证工具箱后续会继续添加新的分析功能，敬请期待。
2. 关注公众号"希潭实验室"，回复"蓝队"，即可得到此工具的下载地址。
3. 欢迎大家扫码加入知识星球希水涵@信安知识库，进入星球内部交流群，一起学习进步！
为了便于技术交流，现已建立微信群"希水涵-信安技术交流群"，欢迎您的加入。
公众号专注于网络安全技术分享，包括APT事件分析、红队攻防、蓝队分析、渗透测试、代码审计等，每周一篇，99%原创，敬请关注。
Contact me: 0day123abc#gmail.com
OR 2332887682#qq.com
(replace # with @)
本文转载自微信公众号「希潭实验室」，查看原文。版权归原作者所有，如有侵权请联系删除。