24hvv面试题知识点大汇总（含答案）

端口号:msf默认使用4444端口作为反向连接端口，数据内容:msf数据包通常包含特定字符串:(“meterpreter"、“revshell"等)，开始目标机器会发送一些空的get请求到攻击机多攻击机那边执行了命令之后，就会变成post 请求，并且携带加密的数据包
0x18.4 蚁剑特征
默认的USER-agent请求头是 antsword xxx，
但是可以通过修改：/modules/request.js 文件中请求UA 绕过其中流量最中明显的特征为<span class="label label-primary">@ini\_set(</span>"display\_errors","0");
这段代码基本是所有 WebShell客户端链接PHP类WebShell都有的一种代码蚁剑混淆加密后还有一个比较明显的特征,即为参数名大多以“\_0x......=”这种形式（下划线可替换），
所以以\_0x开头的参数名也很可能就是恶意流量

冰蝎看包没有发现什么特征，但是可以发现它是POST请求的
1、Accept头有application/xhtml+xmlapplication/xmlapplication/signed- exchange属于弱特征（UA头的浏览器版本很老）
2、特征分析Content-Type: application/octet-stream 这是一个强特征查阅资料可知octet-stream的意思是，只能提交二进制，
而且只能提交一个二进制，如果提交文件的话，只能提交一个文件,后台接收参数只能有一个，而且只能是流（或者字节数组）；很少使用
0x18.5 冰蝎2特征：
默认Accept字段的值很特殊,而且每个阶段都一样冰蝎内置了十余种UserAgent ，每次连接 shell 会随机选择一个进行使用。但都是比较老的，r容易被检测到，
但是可以在burp中修改ua头。Content-Length: 16, 16就是冰蝎2连接的特征

0x18.6 冰蝎3特征：
冰蝎3取消动态密钥获取，目前很多waf等设备都做了冰蝎2的流量特征分析，所以3取消了动态密钥获取；
php抓包看包没有发现什么特征，但是可以发现它是POST请求的
1）Accept头application/xhtml+xmlapplication/xmlapplication/signed- exchange属于弱特征
2）ua头该特征属于弱特征。通过burp可以修改,冰蝎3.0内置的默认16个userAgent都比较老。
现实生活中很少有人使用，所以这个也可以作为waf规则特征jsp抓包特征分析Content-Type: application/octet-stream 这是一个强特征查阅资料可知 octet-stream的意思是，
只能提交二进制，而且只能提交一个二进制，如果提交文件的话，只能提交一个文件,后台接收参数只能有一个，而且只能是流（或者字节数组）；很少使用

冰蝎2.0和3.0区别:1，加密方式不同，一个是RC4加密，一个AES加密。2，编写语言不同，2.0采用的是c++，3.0采用的是ava。3，冰蝎流量检测，无论是get请求还是post请求，content-type为application/octet-stream。

0x18.7 冰蝎4.0特征：

流量分析:1，十种ua头，可关键字拦截ua头进行匹配拦截。2，流量特征accept字段Content-type:Application/x-www-form-urlencoded3Accept:application/json.textjavascript.*/*:q=0.01

0x19 参与过哪些项目

根据实际情况作答

0x20 常见的webshell检测工具

D盾、河马webshell、web shell Detector、PHP Malware Finder

0x21 如何判断是手工还是漏扫

查看流量来源，检测流量频率和规律，观察流量的请求路径和参数，分析流量的响应状态码和长度

0x22 Url或数据中看到恶意payload，如何判断是否是真实攻击

综合判断来源ip，看过往流量

0x23 如何判断攻击是否是真实攻击

判断一下ip来源，判断是内网ip还是公网ip，若为内网ip，然后对请求包的内容是否存在恶意payload，然后再根据响应包内容有执行成功的回显，若相应包中有对应的payload的回显，则可以判断为攻击成功；如果是公网ip，看到payload直接判定真实攻击；看流量特征、响应包，看关联流量和访问ip是不是恶意，借助响应包，关联事件，结合会话日志（http访问日志和会话日志，判断攻击是否成功）