WEBSHELL管理工具流量特征——基础篇

前言

前一阵子帮别人做取证题目，有很多关于WEBSHELL的流量要分析，想起来还有没好好分析过于是准备写篇文章总结一下帮助大家能够快速的辨别WEBSHELL流量，下面我们展开文章来讲。

中国菜刀

这个应该是大家最熟悉的WEBSHELL管理工具，这里先附一个下载链接供大家下载：

github.com/raddyfiy/ca…

这里我用wireshark抓取到了流量进行一下分析：

可以看到特征还是很明显的，首先请求头的ua头，也就是用户代理(User Agent)，通常是百度或者火狐的浏览器，再看上图的请求包体，通常是附带着下面这个标识符：

eval=(base64_decode($_POST[z0])) 

而z0后面的通常也是一样的，只不过进行了base64加密，解密后的结果如下（这里只取最明显的头部解密后的代码):

@ini_set("display_errors","0");@set_time_limit(0); 

这就是中国菜刀WEBSHELL管理工具最常见的流量特征，在进行攻击时为了防止被人发现可以尝试将上面的特征进行混淆以此来防止被发现。