Webshell管理工具连接时流量特征整理

1 JAVA-JSP

1.1 冰蝎3.0

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Encoding: gzip, deflate, br

响应：

执行命令……

1.2 冰蝎4.0

Accept: application/json, text/javascript, */*; q=0.01Accept-Encoding: gzip

1.3 GodZilla

测试连接

提供了memoryShell和FilterShell两种内存马

卸载memshell

内存马特点，对应的ClassLoader目录下没有对应的class文件，tomcat重启后消失，所以可以通过java instrumentation机制，将检测jar包attach到tomcat jvm，检查加载到jvm中的类，对于没有class文件且反编译后代码中有恶意代码的进行处理。

2 php

2.1 冰蝎4.0

连接密码错误时：

正常连接：

2.2 蚁剑

高版本

2.3 菜刀