冰蝎WebShell免杀生成

项目介绍

ByPassBehinder / 冰蝎WebShell免杀生成
文件:ByPassBehinder.exe
MD5 HASH:04caea5648786157fb65dd51d2bc061e

工具使用

使用者无需关心免杀实现,只需要在Windows x64位系统运行即可,命令行输入:ByPassBehinder.exe

目前支持格式为常见WebShell全版本格式:ASP,ASP.NET,PHP,JSP,JSPX,输入对应的编号即可生成,默认密码为Tas9er

免杀测试

腾讯电脑管家:

【扫描信息】扫描用时:00:00:06扫描类型:指定位置杀毒扫描引擎:管家云查杀引擎 管家系统反病毒引擎 管家系统修复引擎 Bitdefender本地查杀引擎 扫描状态:扫描完成
【扫描结果】扫描文件数:5发现风险数:0已处理风险数:0

360杀毒软件:

360杀毒扫描日志扫描用时:00:00:01扫描类型:右键扫描扫描文件总数:5项目总数:0清除项目数:0
扫描选项扫描所有文件:否
扫描压缩包:否发现病毒处理方式:由用户选择处理扫描磁盘引导区:是扫描 Rootkit:否使用云查杀引擎:是使用QVM人工智能引擎:是扫描建议修复项:是常规引擎设置:扫描内容C:\Users\Administrator\Desktop\Demo
白名单设置扫描结果
未发现威胁文件

360安全卫士:

360木马查杀扫描日志扫描类型: 自定义扫描扫描引擎:
360云查杀引擎(本地木马库)  
360启发式引擎  
QEX脚本查杀引擎 QVM Ⅱ人工智能引擎 鲲鹏引擎  扫描文件数: 5系统关键位置文件: 0系统内存运行模块: 0压缩包文件: 0安全的文件数: 5发现安全威胁: 0已处理安全威胁: 0​
扫描选项扫描后自动关机: 否扫描模式: 速度最快管理员:是
扫描内容C:\Users\Administrator\Desktop\Demo\
扫描结果未发现安全威胁

Virustotal

ASP:

ASPX:

PHP:

JSP:

JSPX:

后门可用性

ASP:

ASPX:

PHP:

JSP:

JSPX:

免责声明

本开源工具是由作者按照开源许可证发布的,仅供个人学习和研究使用。作者不对您使用该工具所产生的任何后果负任何法律责任

下载地址

点击下方名片进入公众号

回复关键字【240603】获取下载链接

<think>好的,我现在需要帮助用户解决如何检测和清除冰蝎WebShell内存马的问题。首先,我需要回顾一下用户提供的引用内容,看看有没有相关的信息可以借鉴。引用[2]提到内存型WebShell的兴起,因为传统的检测方法对文件型WebShell更有效,而内存马则更难检测。引用[4]提到了冰蝎的流量特征,比如特定的请求头,这可能在检测中有用。用户还提到冰蝎的加密和生成,引用[3]显示某些扫描工具可能无法检测到它,所以可能需要其他方法。 接下来,我需要整理检测内存马的常见方法。内存马通常驻留在内存中,不会写入磁盘,所以传统的文件扫描可能无效。根据已有的知识,检测方法可能包括: 1. **进程分析**:检查异常进程,特别是与Web服务器相关的,比如Java的Tomcat或PHP-FPM进程是否有可疑的类或函数。 2. **内存dump分析**:使用工具如gcore或jmap来dump内存,然后搜索恶意代码的特征。 3. **流量监控**:冰蝎有特定的HTTP头,比如Cache-Control: max-age=0,结合Referer字段,可以监控这类流量模式。 4. **日志审计**:分析Web访问日志,寻找异常请求路径或参数,可能发现注入内存马的请求。 5. **行为监控**:检测Web应用是否加载了未授权的类或执行了异常命令。 关于清除方法,可能需要: 1. **重启服务**:最简单的办法是重启Web服务器,因为内存马驻留在内存中,重启会释放内存。但用户可能需要不重启的解决方案。 2. **卸载恶意组件**:找到注入的Servlet或Filter,通过管理接口或程序卸载。 3. **代码修复**:修补漏洞,防止再次注入,比如文件上传漏洞或反序列化漏洞。 4. **使用RASP**:运行时应用自我保护,可以拦截恶意行为。 还需要考虑用户的实际环境,比如是Java还是PHP,不同语言的处理方式不同。引用中提到冰蝎有PHP版本,所以可能需要针对PHP-FPM进行检查,或者检查Java的Web应用。另外,引用[1]提到审计日志的配置问题,比如系统性能影响,所以在检测时要合理配置auditd或其他日志工具,避影响系统性能。 可能用户需要具体的步骤,比如如何检查Java内存马,可以使用jsp工具列出所有Servlet,或者使用arthas工具动态排查。对于流量检测,可以配置WAF规则匹配特定的HTTP头特征。 最后,生成相关问题时要涵盖检测、清除、预防等方面,帮助用户全面了解。</think>### 检测与清除冰蝎WebShell内存马的方法教程 #### 一、检测方法 1. **流量特征分析** 冰蝎内存马通信具有特定流量特征: - 固定请求头:`Cache-Control: max-age=0` 关联 `Referer` 字段[^4] - 加密载荷:HTTP请求体/响应体使用AES加密,表现为高熵随机字节流 - 心跳包特征:周期性请求固定路径(如`/index.jsp`)但无业务参数 2. **内存行为分析** - **Java内存马**:检查Web容器(Tomcat/Jetty)加载的`Filter`、`Servlet`、`Listener`,使用工具如`jmap -histo`或Arthas排查可疑类名(如`BehinderFilter`)[^2] - **PHP内存马**:通过`php-fpm`进程分析内存中是否存在通过`eval()`动态注入的代码段 3. **日志关联检测** - 匹配Web访问日志中的异常路径请求与系统审计日志(auditd)中的`execve`系统调用记录,定位恶意进程PID[^1] - 检查短时间内高频访问同一URL但返回码异常(如200 OK伴随空响应体) 4. **动态沙箱检测** 部署RASP(Runtime Application Self-Protection)监控以下行为: ```java // 检测危险操作 if (method.getName().contains("getRuntime") && stackTrace.contains("BehinderPayload")) { blockRequest(); } ``` #### 二、清除步骤 1. **Java内存马清除** - **强制卸载组件**: ```bash # 使用Tomcat Manager API卸载Filter curl -X POST http://localhost:8080/manager/text/remove?path=/&filter=恶意Filter名 ``` - **内存清理**: 通过`Instrumentation API`重定义恶意类为空实现(需JDK Attach权限) 2. **PHP内存马清除** - 终止`php-fpm`进程并重启: ```bash systemctl kill -9 php-fpm && systemctl restart php-fpm ``` - 清理共享内存段: ```bash ipcs -m | grep www-data | awk '{print $2}' | xargs ipcrm -m ``` 3. **系统级修复** - 修补漏洞:关闭JNDI注入、文件上传等攻击入口[^3] - 添加WAF规则拦截特征流量: ```nginx location / { if ($http_cache_control ~* "max-age=0") { set $block 1; } if ($http_referer !~* "合法域名") { set $block "${block}1"; } if ($block = "11") { return 403; } } ``` #### 三、防御建议 1. 启用Linux auditd监控关键操作: ```bash # 监控execve系统调用 -a always,exit -F arch=b64 -S execve -k webshell_audit ``` 2. 部署EDR/XDR解决方案,实现进程行为与网络流量的关联分析[^2]
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

FLy_鹏程万里

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付:¥1
获取中
扫码支付

您的余额不足,请更换扫码支付或充值

打赏作者

实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值