Godzilla 和 冰蝎的流量特征对比

Godzilla（哥斯拉）和 冰蝎（Behinder）是两款常见的 Webshell 管理工具，它们的流量特征各有不同，主要在 通信方式、加密方式和流量特征 上有所区别。

---

🔍 1. Godzilla（哥斯拉）流量特征

Godzilla 主要使用 基于 HTTP 的 Webshell 连接，并且通过 AES 加密 数据，避免明文传输特征数据。

📌 Godzilla 的核心流量特征

1. AES 加密通信

   • 采用 AES ECB 模式 进行流量加密
   • 请求体的 Content-Type: application/x-www-form-urlencoded
   • 请求的数据是 Base64 编码的 AES 加密数据

2. 请求结构

   • POST 方式
   • User-Agent 可能是伪造的随机浏览器 UA
   • Referer 为空或者伪造
   • 请求内容是 Base64 + AES 加密

3. Godzilla 默认特征

   • 典型的 POST 请求：

     POST /shell.php HTTP/1.1
     Host: target.com
     User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)
     Content-Type: application/x-www-form-urlencoded
     Content-Length: 128
     
     b6dce1fa347eb...  # (AES 加密数据，Base64 编码)
     

   • 解码后可能是 php://input 代码执行，或者执行其他命令

4. Godzilla 免杀方式

   • 自定义加密（改 ECB 为 CBC 方式）
   • 使用自定义 Webshell 代理
   • 流量分割（拆分数据包，减少特征匹配）

---

🔍 2. 冰蝎（Behinder）流量特征

冰蝎的核心特点是使用 Java 反序列化 + AES 加密，并且默认使用 GZIP 压缩，其流量更加难以直接检测。

📌 冰蝎的核心流量特征

1. AES + GZIP 加密

   • AES CBC 模式加密（密钥和 IV 由用户设定）
   • 数据经过 GZIP 压缩
   • 默认端口 80/443，使用 HTTP 或 HTTPS 传输

2. 请求结构

   • POST 方式
   • 请求头 Referer 特殊
   • 请求体是 GZIP 压缩 + AES 加密的数据

3. 冰蝎默认特征

   • 典型 POST 请求：

     POST /shell.jsp HTTP/1.1
     Host: target.com
     User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)
     Referer: https://target.com/  # 可能会带有 Referer
     Content-Type: application/octet-stream
     Content-Length: 256
     
     3c6e0b8a9c15224a...  # (AES + GZIP 加密数据)
     

   • 数据必须解压 GZIP + AES 解密后才能识别

4. 冰蝎 免杀方式

   • 修改 AES 加密参数
   • 绕过 Referer 规则检测
   • 伪造正常 HTTP 流量
   • 自定义 Webshell 代码

---

🚀 Godzilla vs 冰蝎 流量特征对比

特征	Godzilla（哥斯拉）	冰蝎（Behinder）
加密方式	AES ECB	AES CBC + GZIP
请求方式	POST	POST
Referer	为空或伪造	可能有 Referer
User-Agent	伪造浏览器 UA	伪造浏览器 UA
流量类型	Base64(AES(数据))	GZIP(AES(数据))
免杀方式	自定义加密、自定义 Webshell	修改 AES 加密方式、GZIP 隐藏

---

💡 如何检测 Godzilla 和 冰蝎？

1. 检测 POST + AES 加密数据

   • 如果流量中 POST 请求体是 Base64 编码的密文，需要警惕！

2. Referer 规则

   • Godzilla 通常 Referer 为空
   • 冰蝎 Referer 可能是伪造的站点

3. 异常 Content-Type

   • application/x-www-form-urlencoded（Godzilla）
   • application/octet-stream（冰蝎）

4. GZIP 压缩分析

   • 冰蝎流量经过 AES + GZIP，需要解压缩后分析

5. 监控文件上传行为

   • 发现 Webshell（如 shell.php）上传后，检测后续流量模式

---

🔥 总结

• Godzilla 主要通过 AES ECB 加密 进行通信，流量表现为 Base64 编码的加密数据。
• 冰蝎 采用 AES CBC + GZIP 压缩，流量更加难检测，但 Referer 可能有特征。
• 通过 流量分析、Referer 规则、Content-Type 检测、加密模式分析，可以有效检测这两种 Webshell 管理工具。

如果你想更深入了解如何 流量免杀、WAF 绕过、流量检测工具，可以继续探讨！ 🚀