前言
在工作中经常会遇到各种websehll，黑客通常要通过各种方式获取 webshell，从而获得企业网站的控制权，识别出webshell文件或通信流量可以有效地阻止黑客进一步的攻击行为，下面以常见的四款webshell进行分析，对工具连接流量有个基本认识。
Webshell简介
webshell就是以asp、php、jsp或者cgi等网页文件形式存在的一种代码执行环境，主要用于网站管理、服务器管理、权限管理等操作。使用方法简单，只需上传一个代码文件，通过网址访问，便可进行很多日常操作，极大地方便了使用者对网站和服务器的管理。正因如此，也有小部分人将代码修改后当作后门程序使用，以达到控制网站服务器的目的，也可以将其称做为一种网页后门
最普通的一句话木马：
<?php @eval($_POST['shell']);?>
<?php system($_REQUEST['cmd']);>
中国菜刀
中国菜刀（Chopper）是一款经典的网站管理工具，具有文件管理、数据库管理、虚拟终端等功能。
它的流量特征十分明显，现如今的安全设备基本上都可以识别到菜刀的流量。现在的菜刀基本都是在安全教学中使用。
github项目地址：GitHub - raddyfiy/caidao-official-version: 中国菜刀官方版本，拒绝黑吃黑，来路清晰
由于菜刀官方网站已关闭，现存的可能存在后门最好在虚拟机运行，上面项目已经进行了md5对比没有问题。
菜刀webshell的静态特征
菜刀使用的webshell为一句话木马，特征十分明显
常见一句话(Eval)：
PHP, ASP, ASP.NET 的网站都可以：
PHP: <?php @eval($_POST['caidao']);?>
ASP: <%eval request("caidao")%>
ASP.NET: <%@ Page Language="Jscript"%><%eval(Request.Item["caidao"],"unsafe");%>
菜刀webshell的动态特征
请求包中：
ua头为百度爬虫
请求体中存在eavl，base64等特征字符
请求体中传递的payload为base64编码，并且存在固定的QGluaV9zZXQoImRpc3BsYXlfZXJyb3JzIiwiMCIpO0BzZXRfdGltZV9saW1pdCgwKTtpZihQSFBfVkVSU0lPTjwnNS4zLjAnKXtAc2V0X21hZ2ljX3F1b3Rlc19ydW50aW1lKDApO307ZWNobygiWEBZIik7J
请求体中执行结果响应为明文，格式为X@Y 结果 X@Y之中
蚁剑
AntSword（蚁剑）是一个开放源代码，跨平台的网站管理工具，旨在满足渗透测试人员以及具有权限和/或授权的安全研究人员以及网站管理员的需求。
github项目地址： GitHub - AntSwordProject/antSword: 中国蚁剑是一款跨平台的开源网站管理工具。AntSword is a cross-platform website management toolkit.
蚁剑webshell静态特征
GitHub - AntSwordProject/AwesomeScript: AntSword Shell 脚本分享/示例蚁剑官方为我们提供了制作好的后门，官方的脚本均做了不同程度“变异”，蚁剑的核心代码是由菜刀修改而来的，所有普通的一句话木马也可以使用。
Php中使用assert，eval执行, asp 使用eval ，在jsp使用的是Java类加载（ClassLoader）,同时会带有base64编码解码等字符特征
蚁剑webshell动态特征
默认编码连接时
这里我们直接使用菜刀的一句话webshell
每个请求体都存在@ini_set(“display_errors”, “0”);@set_time_limit(0)开头。并且存在base64等字符
响应包的结果返回格式为 随机数 结果 随机数
使用base64编码器和解码器时
蚁剑会随机生成一个参数传入base64编码后的代码，密码参数的值是通过POST获取随机参数的值然后进行base64解码后使用eval执行
响应包的结果返回格式为 随机数 编码后的结果 随机数
冰蝎
冰蝎是一款动态二进制加密网站管理客户端。
github地址：https://github.com/rebeyond/Behinder
冰蝎文件夹中，server 文件中存放了各种类型的木马文件
冰蝎webshell木马静态特征
这里主要分析3.0版本的
采用采用预共享密钥，密钥格式为md5(“admin”)[0:16], 所以在各种语言的webshell中都会存在16位数的连接密码，默认变量为k。
在PHP中会判断是否开启openssl采用不同的加密算法，在代码中同样会存在eval或assert等字符特征
在aps中会在for循环进行一段异或处理
在jsp中则利用java的反射，所以会存在ClassLoader，getClass().getClassLoader()等字符特征
冰蝎2.0 webshell木马动态特征
在了解冰蝎3.0之前，先看看2.0是怎么交互等
2.0中采用协商密钥机制。第一阶段请求中返回包状态码为200，返回内容必定是16位的密钥
Accept: text/html, image/gif, image/jpeg, *; q=.2, */*; q=.2
建立连接后 所有请求 Cookie的格式都为: Cookie: PHPSESSID=; path=/；
冰蝎3.0 webshell木马动态特征
在3.0中改了，去除了动态密钥协商机制，采用预共享密钥，全程无明文交互，密钥格式为md5(“admin”)[0:16],但还是会存在一些特征
在使用命令执行功能时，请求包中content-length 为5740或5720（可能会根据Java版本而改变）
每一个请求头中存在Pragma: no-cache，Cache-Control: no-cache
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
哥斯拉
哥斯拉继菜刀、蚁剑、冰蝎之后具有更多优点的Webshell管理工具
github地址：https://github.com/BeichenDream/Godzilla
哥斯拉的webshell需要动态生成，可以根据需求选择各种不同的加密方式
哥斯拉webshell木马静态特征
选择默认脚本编码生成的情况下，jsp会出现xc,pass字符和Java反射（ClassLoader，getClass().getClassLoader()），base64加解码等特征
php，asp则为普通的一句话木马
哥斯拉webshell动态特征
所有请求中Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
所有响应中Cache-Control: no-store, no-cache, must-revalidate,
以上两个只能作为弱特征参考
同时在所有请求中Cookie中后面都存在；特征
不足
本文中只是分析了在php环境中的，并没有搭建其他语言环境进行分析，在之后会对各个语言的动态特征进行分析，同时尝试更多的混淆方式。
网络安全学习资源分享:
给大家分享一份全套的网络安全学习资料，给那些想学习 网络安全的小伙伴们一点帮助！
对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。
因篇幅有限，仅展示部分资料，朋友们如果有需要全套《网络安全入门+进阶学习资源包》，需要点击下方链接即可前往获取
读者福利 | CSDN大礼包：《网络安全入门&进阶学习资源包》免费分享 （安全链接，放心点击）
同时每个成长路线对应的板块都有配套的视频提供：
大厂面试题
视频配套资料&国内外网安书籍、文档
当然除了有配套的视频，同时也为大家整理了各种文档和书籍资料
所有资料共282G，朋友们如果有需要全套《网络安全入门+进阶学习资源包》，可以扫描下方二维码或链接免费领取~
读者福利 | CSDN大礼包：《网络安全入门&进阶学习资源包》免费分享 （安全链接，放心点击）
特别声明：
此教程为纯技术分享！本教程的目的决不是为那些怀有不良动机的人提供及技术支持！也不承担因为技术被滥用所产生的连带责任！本教程的目的在于最大限度地唤醒大家对网络安全的重视，并采取相应的安全措施，从而减少由网络安全而带来的经济损失。
