HTTP隐蔽隧道工具--pystinger流量特征检测分析

工具介绍

项目地址：
https://github.com/FunnyWolf/pystinger
毒刺(pystinger)通过webshell实现内网SOCK4代理,端口映射.
可直接用于metasploit-framework,viper,cobalt strike上线.
主体使用python开发,当前支持php,jsp(x),aspx三种代理脚本.

流量&逻辑分析

环境&测试准备

环境配置
入口服务器Winc Win10虚拟机 192.168.2.130(NAT转换)
外部访问Wino Win10 192.168.2.1(宿主机)
内部服务器Win7 192.168.2.132(NAT转换)
测试方式

1. Win7上开启防火墙功能，并建立入站规则，只允许Winc进行访问

Wino ping测试前后对比如下：

Winc如下：

2. 在Winc利用Gost做端口转发，将本地8080端口的流量转发到Win7的8888端口(利用phpstudy搭建了Web环境)

gost -L tcp://:8080/192.168.2.132:8888

3. 之后按照Github上的流程进行模式测试

特征分析

分析了一下传输流量，发现相关字段都没有加密，针对未魔改脚本，直接做相关检测即可。