冰蝎、蚁剑、哥斯拉的流量特征

冰蝎、蚁剑、哥斯拉的流量特征

1. 蚁剑流量特征

1.1 蚁剑webshell静态特征

蚁剑中php使用assert、eval执行；asp只有eval执行；在jsp使用的是Java类加载（ClassLoader），同时会带有base64编码解码等字符特征。

1.2 蚁剑webshell动态特征

我们使用一句话木马上传webshell，抓包后会发现每个请求体都存在以@ini_set("display_errors","0");@set_time_limit(0)开头。并且响应体的返回结果是base64编码发混淆字符，格式为：随机数 结果 随机数。

去除混淆字符（随机数）后进行base64解码，解码后响应体的返回结果的格式为：随机数 解码后的结果 随机数。观察payload可以发现攻击行为。

另外，蚁剑混淆加密后还有一个比较明显的特征，即为参数名大多以“_0x.....=”这种形式（下划线可替换为其他）所以，以_0x开头的参数名，后面为加密数据的数据包也可识别为蚁剑的流量特征。

2. 冰蝎流量特征

2.1 冰蝎2.0

使用```AES加密 + base64编码```，AES使用动态密钥对通信进行加密，进行请求时内置了十几个User-Agent头&