基于流量侧检测冰蝎webshell交互通讯

概述

作为新型加密webshell管理客户端，冰蝎算是作为中国菜刀、C刀的替代者。根据网传使用效果，基本得到的反馈是相当的NICE！那么我们能否像检测中国菜刀、C刀那样对冰蝎客户端的流量进行检测，帮助网站管理员判断自己的网站是否存在后门。本文后续一一介绍。

一、冰蝎主要功能

1.基本信息

客户端和服务端握手之后，会获取服务器的基本信息，Java、.NET版本包括环境变量、系统属性等，PHP版本会显示phpinfo的内容。

2.文件管理

和中国菜刀、C刀的功能差不多，文件的增删改查，稍微不同的是文件都是进行了加密传输的，可以避免被拦截。

3.命令执行

执行单条操作系统命令。

4.虚拟终端

虚拟终端提供了一个模拟真实的交互式shell环境，相当于把服务器侧的shell客户端放在了管理工具内，在这个shell里你可以执行各种需要交互的命令，当然你也可以利用它对内网进行攻击测试。

5.Scoks代理

虚拟终端功能其实已经是部分实现了内网穿透的能力。在shell环境里所进行的操作其实都是在内网环境下进行的，不过为了方便使用，客户端提供了基于一句话木马的Socks代理功能，一键开启，简单高效。

6.反弹shell

反弹Shell是突破防火墙的利器，也几乎是后渗透过程的必备步骤。提到后渗透，当然少不了metasploit，提到metasploit，当然少不了me