冰蝎 on SoulJian小站

WebShell 流量特征分析：蚁剑 / 菜刀 / 哥斯拉 / 冰蝎

Sat, 29 Aug 2026 17:10:00 +0800

写在前面：合法学习边界

本文从蓝队/检测视角分析 WebShell 工具流量特征。掌握特征用于防守与授权测试，禁止用于入侵真实系统。

一、为什么看流量

WebShell 上线后，管理工具会持续与服务器通信。无论流量加密与否，都会留下可识别的指纹。蓝队通过流量特征能在工具连接阶段就发现 Webshell，而不是等文件扫描。

二、菜刀（CaiDao）特征

老一代工具，明文传输，特征最明显：

1
2
3
4


请求体含 eval / assert / base64_decode / create_function
固定一句话结构：@$_POST['密码']
明文 base64 编码的命令与结果
Content-Length 较固定、UA 常为默认浏览器 UA

检测要点：

1
2


抓包找 base64 + eval/assert 组合
特征字符串：@eval、@assert、@$_POST、base64_decode

三、蚁剑（AntSword）特征

新一代，流量做了混淆，但仍有特征：

1
2
3
4


默认 UA 含 antSword（可改）
请求体常见 @ini_set("display_errors","0") 开头
固定结构：@ini_set 系列 + eval/assert 执行
PHP 版本响应含 phpinfo/函数特征

检测要点：

1
2
3


UA 命中 antSword
请求体出现 @ini_set("display_errors" ... 固定载荷
配合 eval/assert 关键字组合命中

四、冰蝎（Behinder）特征

AES 加密流量，但加密前有固定结构：

1
2
3
4
5


默认密钥 3cb8b8f1e0f9d4c9... 可被识别
请求为固定 AES 密文（base64）
Content-Length 相对固定
UA 常用 Mozilla/5.0 默认、连接特征稳定
服务端脚本固定：@session_start + 解密执行

检测要点：

1
2
3


流量解密（用默认密钥）后还原命令
密文长度/固定 base64 特征
尝试用默认密钥字典解 rememberMe/密文

五、哥斯拉（Godzilla）特征

Java 编写，多语言，加密但结构固定：

1
2
3
4


payload 固定特征字符串（如特定密钥串/开头）
握手与响应密文长度固定
默认密钥在生成时写入脚本
请求带固定参数结构与固定密文

检测要点：

1
2
3


特征字符串扫描（流量 + 文件）
密文长度/结构指纹
解密验证（默认密钥）

六、通用检测方法

1
2
3
4
5


1. 特征库：UA、固定载荷、关键字（eval/assert/base64_decode/@ini_set）
2. 加密流量：用默认密钥解密还原
3. 行为分析：异常高频请求、固定间隔回连
4. 文件侧：扫描特征脚本与内存马
5. 日志侧：可疑上传 + 持续访问单个脚本

七、检测与防御（落地）

1
2
3
4


部署 WAF/流量审计，加载四类工具特征规则
对上传目录重点监控
EDR 检测内存马与进程行为
定期解密流量样本复核

流量分析操作步骤

1
2
3
4
5


第 1 步：抓包/导日志（对应时间段）
第 2 步：按特征库筛（UA/载荷/密文长度）
第 3 步：可疑流量用默认密钥解密还原
第 4 步：看行为（高频请求/固定间隔回连）
第 5 步：结合文件扫描确认 WebShell

八、小结

四类工具从“明文（菜刀）”到“加密（冰蝎/哥斯拉）”，趋势是越来越隐蔽，但默认特征始终存在。蓝队的核心是把特征库 + 解密 + 行为分析结合起来，才能在不同加密程度下都识别 Webshell。

冰蝎与哥斯拉：WebShell 管理实战

Sat, 29 Aug 2026 16:50:00 +0800

写在前面：合法学习边界

冰蝎/哥斯拉仅用于授权测试。上传 WebShell 属于高风险行为，禁止在非授权系统使用。

一、工具定位

WebShell 一旦被上传，就需要一个“管理端”来连接和操作。冰蝎与哥斯拉是两类主流工具：

1
2


冰蝎（Behinder）：PHP/JSP/ASP 等，流量 AES 加密
哥斯拉（Godzilla）：Java 编写，多语言支持，功能更全

它们的特点是流量加密、行为隐蔽，常用于绕过 WAF 和日志检测。

二、冰蝎使用

生成服务端脚本

1
2
3


客户端选择目标语言（PHP/JSP/ASP）
生成 webshell.php（内置 AES 密钥）
上传到目标 Web 目录

连接

1
2
3


URL 填 shell 地址
密码填生成时的连接密码
默认密钥 3cb8b8f1e0f9d4c9... 可改

功能

1
2
3
4


命令执行
文件管理
数据库管理
反弹 Shell

细节与特征（务必注意）

1
2
3
4


默认密钥固定 → 安全设备可识别
请求特征：固定 Content-Length、特殊 UA、AES 加密密文
冰蝎 4.0 默认密钥特征明显
改密钥/加流量伪装可降低特征，但仍是检测重点

三、哥斯拉使用

生成 Payload

1
2
3


生成模式选 Java（或 PHP/ASPX）
输出一个脚本文件（如 shell.jsp）
上传到目标

连接

1
2


URL + 密钥 + Payload 类型
支持 Fofa 批量扫描在线管理

功能

1
2
3
4


命令执行、虚拟终端
文件管理、数据库
内存马、免杀拓展
Socks 代理

细节与特征

1
2
3


哥斯拉 payload 默认特征（固定开头/密钥串）
流量加密但握手与结构可被识别
常用检测：流量特征 + 内存特征 + 文件特征

四、实战流程（授权环境）

1
2
3
4


1. 通过漏洞拿到上传点/写入点
2. 上传 shell（用冰蝎/哥斯拉生成）
3. 管理端连接、确认命令执行
4. 提权、横向、清理痕迹

影响与风险

WebShell 一旦被管理工具接管：

1
2
3


服务器被持续远程控制
数据窃取、内网横向
被用于挖矿、勒索、架设跳板

风险等级：严重。加密流量让它在日志里更难被发现。

完整操作步骤

1
2
3
4
5


第 1 步：通过漏洞拿到上传/写入点
第 2 步：用冰蝎/哥斯拉生成对应语言 shell
第 3 步：上传并在管理端连接、确认执行
第 4 步：改密钥/流量伪装降低特征
第 5 步：提权、横向、清理痕迹

五、检测（对立面）

1
2
3
4
5


特征密钥/密文/UA/Content-Length 指纹
Web 目录非常规文件扫描
流量解密识别（解密后看命令）
EDR 内存马检测
日志中可疑上传与异常访问

六、防御与清理

1
2
3
4


上传校验 + 目录不可执行 + WAF
定期扫描 WebShell 特征
发现后：取证 → 隔离 → 清理 → 追入侵链路
对被杀进程/内存马做专项清理

修复

1
2
3
4
5


发现后先取证，保留现场再清理
删除 WebShell 文件并排查同目录异常文件
清理内存马与相关进程
追查上传入口，修复对应漏洞
复测：文件与内存特征均消失

七、小结

冰蝎/哥斯拉把 WebShell 从“能执行”变成“好管理”，核心价值是流量加密与功能集成。但默认特征可被识别，攻防焦点就在特征上。使用时先确认授权，防御时重点抓“默认密钥+流量指纹+内存特征”。