webshell管理工具的流量特征分析（菜刀、蚁剑、冰蝎、哥斯拉）

原创

已于 2023-05-05 16:46:36 修改 · 3.8k 阅读

54 ·

CC 4.0 BY-SA版权

文章标签：

#网络安全 #系统安全

于 2023-05-05 16:22:02 首次发布

文章介绍了常见的Webshell管理工具如菜刀、蚁剑、冰蝎和哥斯拉的流量特征，强调这些工具的加密方式及其如何绕过安全检测。菜刀和蚁剑使用静态加密，而冰蝎和哥斯拉采用动态加密，更难被检测。文章旨在帮助防守方理解和识别这些工具的网络行为。

写在前面

菜刀、蚁剑、冰蝎、哥斯拉是常见的webshell管理工具。在攻防演练中，了解其常见webshell管理工具的流量特征对防守方来说十分重要。常见的webshell也在不断发展以绕过安全设备waf的检测，其流量特征也在不断演变，我们应该与时俱进的进行了解分析。简单的来说，菜刀和蚁剑采用静态加密的方式，其流量的攻击特征较为明显，而冰蝎和哥斯拉采用了动态加密的方式，更容易绕过安全设备的检测。

至于为啥要总结这篇文章，原因主要是感觉这几个webshell管理工具的流量特征是hvv和许多安全厂商在流量分析和应急响应的面试中很爱问的问题，而网上的许多资料感觉写的比较凌乱。于是在我看了一些资料后，从准备面试的角度做个总结，其中的内容主要源于网上的资料，如果我写的有不到位的地方，欢迎读者评论区指出或私信，不胜感谢。

菜刀

payload在请求体中，采用url编码+base64编码，payload部分是明文传输。

payload中有eval或assert、base64_decode这样的字符。

payload中有默认固定的&z0=QGluaV9zZXQ...这样base64加密的攻击载荷，参数z0对应$_POST[z0]接收到的数据，且固定为QGluaV9zZXQ开头。进行base64解码后可看到代码：@ini_set("display_errors","0");@set_time_limit(0);@set_magic_quotes_runtime(0);这段意思是首先关闭报错和magic_quotes，接下来去获取主机的信息。