写在前面：合法学习边界
冰蝎/哥斯拉仅用于授权测试。上传 WebShell 属于高风险行为，禁止在非授权系统使用。
一、工具定位
WebShell 一旦被上传，就需要一个“管理端”来连接和操作。冰蝎与哥斯拉是两类主流工具：
1
2
| 冰蝎（Behinder）：PHP/JSP/ASP 等，流量 AES 加密
哥斯拉（Godzilla）：Java 编写，多语言支持，功能更全
|
它们的特点是流量加密、行为隐蔽，常用于绕过 WAF 和日志检测。
二、冰蝎使用
生成服务端脚本
1
2
3
| 客户端选择目标语言（PHP/JSP/ASP）
生成 webshell.php（内置 AES 密钥）
上传到目标 Web 目录
|
连接
1
2
3
| URL 填 shell 地址
密码填生成时的连接密码
默认密钥 3cb8b8f1e0f9d4c9... 可改
|
功能
1
2
3
4
| 命令执行
文件管理
数据库管理
反弹 Shell
|
细节与特征（务必注意）
1
2
3
4
| 默认密钥固定 → 安全设备可识别
请求特征：固定 Content-Length、特殊 UA、AES 加密密文
冰蝎 4.0 默认密钥特征明显
改密钥/加流量伪装可降低特征，但仍是检测重点
|
三、哥斯拉使用
生成 Payload
1
2
3
| 生成模式选 Java（或 PHP/ASPX）
输出一个脚本文件（如 shell.jsp）
上传到目标
|
连接
1
2
| URL + 密钥 + Payload 类型
支持 Fofa 批量扫描在线管理
|
功能
1
2
3
4
| 命令执行、虚拟终端
文件管理、数据库
内存马、免杀拓展
Socks 代理
|
细节与特征
1
2
3
| 哥斯拉 payload 默认特征（固定开头/密钥串）
流量加密但握手与结构可被识别
常用检测：流量特征 + 内存特征 + 文件特征
|
四、实战流程（授权环境）
1
2
3
4
| 1. 通过漏洞拿到上传点/写入点
2. 上传 shell（用冰蝎/哥斯拉生成）
3. 管理端连接、确认命令执行
4. 提权、横向、清理痕迹
|
影响与风险
WebShell 一旦被管理工具接管：
1
2
3
| 服务器被持续远程控制
数据窃取、内网横向
被用于挖矿、勒索、架设跳板
|
风险等级：严重。加密流量让它在日志里更难被发现。
完整操作步骤
1
2
3
4
5
| 第 1 步：通过漏洞拿到上传/写入点
第 2 步：用冰蝎/哥斯拉生成对应语言 shell
第 3 步：上传并在管理端连接、确认执行
第 4 步：改密钥/流量伪装降低特征
第 5 步：提权、横向、清理痕迹
|
五、检测（对立面）
1
2
3
4
5
| 特征密钥/密文/UA/Content-Length 指纹
Web 目录非常规文件扫描
流量解密识别（解密后看命令）
EDR 内存马检测
日志中可疑上传与异常访问
|
六、防御与清理
1
2
3
4
| 上传校验 + 目录不可执行 + WAF
定期扫描 WebShell 特征
发现后：取证 → 隔离 → 清理 → 追入侵链路
对被杀进程/内存马做专项清理
|
修复
1
2
3
4
5
| 发现后先取证，保留现场再清理
删除 WebShell 文件并排查同目录异常文件
清理内存马与相关进程
追查上传入口，修复对应漏洞
复测：文件与内存特征均消失
|
七、小结
冰蝎/哥斯拉把 WebShell 从“能执行”变成“好管理”，核心价值是流量加密与功能集成。但默认特征可被识别，攻防焦点就在特征上。使用时先确认授权，防御时重点抓“默认密钥+流量指纹+内存特征”。