应急响应

流量特征

一句话木马

<?php   @eval($_POST['shell']);?>

<?php system($_REQUEST['cmd']);>

中国菜刀

中国菜刀（Chopper）是一款经典的网站管理工具，具有文件管理、数据库管理、虚拟终端等功能。

它的流量特征十分明显，现如今的安全设备基本上都可以识别到菜刀的流量。现在的菜刀基本都是在安全教学中使用。

payload特征

PHP:

ASP: <%eval request(“caidao”)%>

ASP.NET: <%@ Page Language=“Jscript”%><%eval(Request.Item[“caidao”],“unsafe”);%>

数据包流量特征

1，请求包中：ua头为百度，火狐

2，请求体中存在eavl，base64等特征字符

3，请求体中传递的payload为base64编码，并且存在固定的QGluaV9zZXQoImRpc3BsYXlfZXJyb3JzIiwiMCIpO0BzZXRfdGltZV9saW1pdCgwKTtpZihQSFBfVkVSU0lPTjwnNS4zLjAnKXtAc2V0X21hZ2ljX3F1b3Rlc19ydW50aW1lKDApO307ZWNobygiWEBZIik7J

蚁剑

AntSword（蚁剑）是一个开放源代码，跨平台的网站管理工具，旨在满足渗透测试人员以及具有权限和/或授权的安全研究人员以及网站管理员的需求。

payload特征

Php中使用assert，eval执行
asp 使用eval
在jsp使用的是Java类加载（ClassLoader）,同时会带有base64编码解码等字符特征

数据包流量特征

使用普通的一句话都存在以下特征：每个请求体都存在@ini_set(“display_errors”, “0”);@set_time_limit(0)开头。并且后面存在base64等字符

出现antsword

响应包的结果返回格式为：
随机数
响应内容
随机数

使用base64加密的payload，数据包存在以下base加密的eval命令执行，数据包的payload内容存在几个分段内容，分别都使用base加密，解密后可以看到相关的路径，命令等

响应包的结果返回格式为：

随机数
编码后的结果
随机数

冰蝎

冰蝎是一款动态二进制加密网站管理客户端。

payload

php在代码中同样会存在eval或assert等字符特征

在aps中会在for循环进行一段异或处理

在jsp中则利用java的反射，所以会存在ClassLoader，getClass().getClassLoader()等字符特征

冰蝎2.0流量特征

第一阶段请求中返回包状态码为200，返回内容必定是16位的密钥

请求包存在：Accept: text/html, image/gif, image/jpeg, ; q=.2, */; q=.2*

建立连接后的cookie存在特征字符
所有请求 Cookie的格式都为: Cookie: PHPSESSID=; path=/；

冰蝎3.0流量特征

请求包中content-length 为5740或5720（可能会根据Java版本而改变）
每一个请求头中存在
Pragma : no-cache，Cache-Control: no-cache
Accept : text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,/*;q=0.8,application/signed-exchange;v=b3;q=0.9

哥斯拉流量特征

payload特征

jsp会出现xc,pass字符和Java反射（ClassLoader，getClass().getClassLoader()），base64加解码等特征

php，asp则为普通的一句话木马

哥斯拉流量分析

所有请求中Accept : text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,/;q=0.8
所有响应中Cache-Control: no-store, no-cache, must-revalidate,
同时在所有请求中Cookie中后面都存在；特征

准备工作

1. 手机目标服务器各类信息
2. 部署相关分析软件及平台等
3. 整理相关安全渗透工具指纹库
4. 针对异常表现第一时间触发思路

工具

360星图

ELK

splunk

操作系统

1. 常见危害：暴力破解、漏洞利用、流量攻击、木马控制{Webshell，PC木马等}，病毒感染（挖矿，蠕虫，勒索等）
2. 常见分析：计算机账户，端口，进程，网络。启动，服务，任务，文件等安全问题