常见的webshell工具的流量特征

菜刀

因为菜刀有很多的版本迭代，为此，菜刀的流特征大致有如下几种

PHP流量特征

特征一：百度爬虫头

1.菜刀工具发起的请求头里面，默认的UA为百度的爬虫Baiduspider

Mozilla/5.0 (compatible; Baiduspider/2.0; +http://www.baidu.com/search/spider.html)

特征二：采用base64加密方式

数据报中有明显的base64解密的过程，因为数据报发送的时候是以base64加密的方式进行发送的

特征三：数据报中有有eval关键字

后门连接使用的是eval的方式进行后门连接

特征四：特定的数据包前缀

每个请求中的前缀都是一样的，一定要主要这个前缀：

QGluaV9zZXQoImRpc3BsYXlfZXJyb3JzIiwiMCIpO0BzZXRfdGltZV9saW1pdCgwKTtpZihQSFBfVkVSU0lPTjwnNS4zLjAnKXtAc2V0X21hZ2ljX3F1b3Rlc19ydW50aW1lKDApO307ZWNobygiWEBZIik7J

解码后是下面：

@ini_set("display_errors","0");@set_time_limit(0);if(PHP_VERSION<'5.3.0'){@set_magic_quotes_runtime(0);};echo("X@Y");

这种判断方式最为可靠，一般有这个前缀的数据报就可以判断这个数据报是菜刀连接后门的数据报

特征五：返回的数据报中有X@Y的字样

JSP流量特征

该流量是WebShell链接流量的第一段链接流量,其中特征主要在i=A&z0=GB2312,菜刀链接JSP木马时,第一个参数定义操作,其中参数值为A-Q,