蚁剑、冰蝎、哥斯拉流量特征分析

蚁剑：

1.使用了AES加密算法对数据进行加密，同时还使用了自定义的二进制协议，存在eval这种明显的特征
2.默认的USER-agent请求头 是 antsword xxx，但是 可以通过修改:/modules/request.js 文件中 请求UA绕过
3.最明显的特征为@ini_set(“display_errors”，“0”);这段代码基本是所有webshell客户端链接PHP类Webshell都有的一种代码
4.蚁剑混淆加密后还有一个比较明显的特征,即为参数名大多以"_0x"这种形式，所以以_0x开头的参数也很可能就是恶意流量。

冰蝎：

冰蝎2.0：

2.0的话一般是是随机秘钥的每次请求都是随机的秘钥的、并且是AES对称加解密的、怎么个随机法、可以这样理解：

1、冰蝎2默认Accept字段的值很特殊,而且每个阶段都一样

Accept: te/html, ima/gif, ima/jpeg, *; q=.2, /**; q=.2

2、Content-Length

Content-Length: 16, 16就是冰蝎2连接的特征

3、流量特征共分为两次get请求，第一次请求服务端产生密钥写入session，第二次请求用于获取key、然后通过每次获取的key进行aes加密再base64传输、特征的话就是每次请求都是不同的Accept、如果发现同一ip多次不同Accept就可能有问题了、

冰蝎3.0：

冰蝎3.0变了、变成固定秘钥了、变成默认的秘钥rebeyond了、但是也可以改的、并且秘钥是拿MD5(rebeyond)的MD5值的前16位作为AES的秘钥进行加密再base64传输、特征的话就是每次请求都是不同的Accept、如果发现同一ip多次不同Accept就可能有问题了、

冰蝎4.0:

冰蝎4.0就变了、是自定义传输协议的、因为传输的内容含有key:vul