超级会员免费看
本文详细介绍了冰蝎（Behinder）加密WebShell的工作原理、使用方法和流量特征清除策略，以及针对冰蝎的检测思路，包括流量、应用和主机层面的检测。文章还探讨了如何通过修改冰蝎的PHP、JSP和ASP流量特征来避免检测，同时讨论了OpenRASP等应用层防护技术的优缺点，并提供了针对冰蝎流量特征的检测方法。
用Web系统语言(如:ASP、PHP、JSP等)编写的WebShell，WebShell上传服务器后当成页面被攻击者访问，常当做后门。
WebShell危害
做后门； 文件、数据库操作； 修改Web页面......
WebShell的特点
特点一：Web木马可大可小。
特点二：无法有效隐藏。
特点三：具有明显特征值。
命令执行函数：ebval、system、popen、exeshell_exec等。
文件功能函数：fopen、opendir、dirname、pathinfo等。
数据库操作类函数：mysql_query、mysqli_query等。
WebShell必须为可执行的网页格式。
一、冰蝎（Behinder）简介
演练中，第一代webshell管理工具“菜刀”的攻击流量特征明显，容易被安全设备检测到，攻击方越来越少使用，加密webshell 正变得越来越流行，由于流量加密，传统的WAF、WebIDS设备难以检测，给威胁监控带来较大挑战。
这其中最出名就是“冰蝎”，“冰蝎”是一款动态二进制加密网站管理客户端，演练中给防守方造成很大困扰，本文将对“冰蝎”的加
订阅专栏 解锁全文
扫一扫
3030
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
