PCShare流量检测报告

使用方法

---

1.在创建客户页面设置IP、端口，生成木马

2.在刷新IP页面设置监听IP和监听端口

3.等待受控靶机运行木马即可上线

---

检测方案

---

1.检测心跳包，此工具的心跳包包括TCP协议和HTTP协议，时间间隔为50秒
2.当远控工具产生交互行为时，上行流量会大于下行流量
上行数据包统计：

下行数据包统计：

3.PSH标志包和SYN标志包占比增加
PSH标志包总数为916，占100%

SYN标志包总数为916，占100%

4.数据交互时，会产生特征字段。
发送desktop.ini文件所在路径。desktop.ini文件常见于病毒木马在运行时创建的文件，即正常行为不会产生。

发送shell32.dll的文件路径

HTTP心跳包携带特征字段，特征字段为PO ST /年/月日/xxx xxx/xxxxxxx.jsp