冰蝎-Webshell管理工具分享

概述

冰蝎是一款新型动态二进制加密网站工具。目前已经有6个版本。对于webshell的网络流量侧检测，主要有三个思路。一：webshell上传过程中文件还原进行样本分析，检测静态文件是否报毒。二：webshell上线或建立连接过程的数据通信流量。三：webshell已连接后执行远程控制命令过程的数据通信流量。本文通过分析多个历史冰蝎版本及五种脚本(asp|aspx|jsp|jspx|php)，结合第二点检测冰蝎上线的静态特征，并总结部分snort规则。

冰蝎通讯原理

冰蝎采用AES加密，很多文章已有介绍，并有对应解密脚本，这里不再赘述。

下载地址：https://pan.quark.cn/s/3e079db572d6