gh0st远控流量分析报告

使用方法

---

1.运行编译后bin目录下的gh0st.exe文件，Settinas为设置监听选项，Build为创建木马。

2.设置监听端口和攻击机ip,并记录上线字段。

3.复制之前的上线字段，点击生成服务器即可生成木马。

4.等待受害者靶机运行木马即可。

---

检测方案

---

1.检测心跳包，时间间隔为3分钟。

2.上行流量大于下行流量
上行数据包统计

下行数据包统计

3.检测Magic字段

在一些变种中常见为F1X6B和FLYNN，但都为5字节或5字节的整数倍