webshell连接工具冰蝎检测特征提取

1⃣️、概述

        冰蝎作为新款的webshell连接工具，使用效果非常好。本文主要从冰蝎使用过程产生的流量里提取检测特征。部分提取思路从基于流量侧检测冰蝎webshell交互通讯获得了启发。后经过测试发现了关于冰蝎工具的通用检测特征（针对目前已公开的版本）。下面详细介绍本文内容。

2⃣️、各版本对比

        目前冰蝎共分为六个版本分别是：V1.0、V1.1、V1.2、V1.2.1、V2.0、V2.0.1。其中从V1.1开始（包含V1.1）新增随机UserAgent支持，每次会话会从17种常见UserAgent中随机选取。其中各版本详细区别看参考冰蝎各版本更新日志。

3⃣️、流量分析

        以下部分主要描述基于流量侧检测冰蝎webshell交互通讯?️没有介绍到的或者笔者经过测试后与其的不同点。以及提取关于冰蝎工具的通用特征
        测试环境：

win7 x64运行服务端分别包含phpStudy、java version "10.0.2、apache-tomcat-9.0.10、IIS。
win7 x32运行客户端java version “1.8.0_171”、各版本冰蝎工具。

        针对PHP类型，都需要开启扩展openssl冰蝎工具才能正常连接上。

V1.0

        针对V1.0版本的冰蝎工具，笔者经过模拟测试php-webshell如下所示：

        如下图所示是首包的关键信息：

首包请求方法	GET
User-Agent:	Java/1.8.0_171