webshell连接工具工具流量特征

1. 哥斯拉流量特征

UA弱特征
所有的请求中都有：Accept:text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,/:q=0.8
所有响应中都有：Cache-Control: no-store, no-cache, must-revalidate,同时在所有请求中Cookie中后面都存在特征

2. 菜刀流量特征

请求包中：ua头为百度，火狐
请求体中存在eavl，base64等特征字符
请求体中传递的payload为base64编码，并且存在固定的
连接服务器的IP地址往往采用动态DNS转换,较难通过IP直接检测

3. 冰蝎流量特征

冰蝎2.0流量特征：
第一阶段请求中返回包状态码为200，返回内容必定是16位的密钥
请求包存在：Accept: text/html, image/gif, image/jpeg, ; q=.2, /; q=.2
建立连接后的cookie存在特征字符
所有请求 Cookie的格式都为: Cookie: PHPSESSID=; path=/；
冰蝎3.0流量特征：
请求包中content-length 为5740或5720（可能会根据Java版本而改变）
每一个请求头中存在
Pragma: no-cache，Cache-Control: no-cache
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,/* ;q=0.8,application/signed-exchange;v=b3;q=0.9

4. 蚁剑流量特征

每个请求体都存在@ini_set(“display_errors”, “0”);@set_time_limit(0)开头。并且后面存在base64等字符
响应包的结果返回格式为：随机数----响应内容—随机数
连接端口常使用443或8080等常用端口