80后用菜刀，90后用蚁剑，95后用冰蝎和哥斯拉，以phpshell连接为例，本文主要是对这四款经典的webshell管理工具进行流量分析和检测。
什么是一句话木马？
1、定义
顾名思义就是执行恶意指令的木马，通过技术手段上传到指定服务器并可以正常访问，将我们需要服务器执行的命令上传并执行
2、特点
短小精悍，功能强大，隐蔽性非常好
3、举例
php一句话木马用php语言编写的，运行在php环境中的php文件，例：<?php @eval($_POST['pass']);?>
4、原理
以最为常见的php一句话木马为例，"<?php ?>"为php固定规范写法，"@"在php中含义为后面如果执行错误不会报错，"eval()"函数表示括号里的语句全做代码执行，"$_POST['pass']"表示从页面中以post方式获取变量pass的值
四、哥斯拉（Godzilla v3.0）
①全部类型的shell能绕过市面大部分的静态查杀
②流量加密能绕过过市面绝大部分的流量Waf
③Godzilla自带的插件是冰蝎、蚁剑不能比拟的
1、主要功能
它能实现的功能除了传统的命令执行、文件管理、数据库管理之外，根据shell类型的不同还包括了：
（1）MSF联动
（2）绕过OpenBasedir
（3）ZIP压缩 ZIP解压
（4）代码执行
（5）绕过 DisableFunctions
（6）Mimikatz
（7）读取服务器 FileZilla Navicat Sqlyog Winscp XMangager 的配置信息以及密码
（8）虚拟终端 可以用netcat连接
（9）Windows权限提升 （2012-2019烂土豆）
（10）读取服务器 谷歌 IE 火狐 浏览器保存的账号密码
（11）Windows权限提升烂土豆的C#版本 甜土豆
（12）支持 哥斯拉 冰蝎 菜刀 ReGeorg 的内存shell 并且支持卸载
（13）屏幕截图
（14）Servlet管理 Servlet卸载
（15）内存加载Jar 将Jar加载到 SystemClassLoader
2、基础配置
首先从使用最多的PHP_XOR_BASE64类型的加密shell说起，所用的shell主要配置如下：
①URL：http://172.16.159.129/godzilla_shell.php
②密码：pass
③密钥：key
④有效载荷：PhpDynamicPayload
⑤加密器：PHP_XOR_BASE64
⑥哥斯拉的Shell配置包括基本配置和请求配置，其中基本配置主要设置shell地址、密码、密钥、加密器等信息
这里要注意密码和密钥的不同：
①密码：和蚁剑、菜刀一样，密码就是POST请求中的参数名称，本例中哥斯拉提交的每个请求都是pass=xxxxxxxx这种形式
②密钥：用于对请求数据进行加密，不过加密过程中并非直接使用密钥明文，而是计算密钥的md5值，然后取其前16位用于加密过程
③哥斯拉shell的请求配置主要用于自定义HTTP请求头，以及在最终的请求数据左右再追加一些扰乱数据，进一步降低流量的特征
3、PHP_XOR_BASE64加密器
哥斯拉内置了3种Payload以及6种加密器，6种支持脚本后缀，20个内置插件，以下主要以PHP_XOR_BASE64为例进行分析。
（1）加密原理
XOR运算
在逻辑运算之中，除了 AND和 OR，还有一种 XOR运算，中文称为"异或运算"。 它的定义是：两个值相同时，返回false，否则返回true。也就是说，XOR可以用来判断两个值是否不同。
XOR加密
XOR运算有一个很奇妙的特点：如果对一个值连续做两次 XOR，会返回这个值本身。
（2）客户端加密模块分析
（3）Shell服务器端代码分析
PHP_XOR_BASE64类型的加密shell的服务器端代码如下，其中定义了encode函数，用于加密或解密请求数据。由于是通过按位异或实现的加密，所以encode函数即可用于加密，同时也可用于解密。
整个shell的基本执行流程是：服务器接收到哥斯拉发送的第一个请求后，由于此时尚未建立session，所以将POST请求数据解密后（得到的内容为shell操作中所需要用到的相关php函数定义代码）存入session中，后续哥斯拉只会提交相关操作对应的函数名称（如获取目录中的文件列表对应的函数为getFile）和相关参数，这样哥斯拉的相关操作就不需要发送大量的请求数据。
（4）数据包分析
这里从Shell Setting对话框中的测试连接操作开始分析，在Shell Setting对话框中，一共会产生3个POST数据包，POST请求报文中参数名都是pass（即shell的连接密码），参数值都是加密数据。①第一个Request请求数据包
②第一个Response响应数据包
③第二个Request请求数据包
④第二个Response响应数据包
⑤第三个Request请求数据包
⑥第三个Response响应数据包
4、PHP_EVAL_XOR_BASE64加密器
5、PHP_XOR_RAW加密器
6、规则落地
alert http any any -> any any (msg:"哥斯拉/Godzilla PHP Base64 连接成功";
flow:established,from_server;
flowbits:txisset,Godzilla_webshell_request_match;
http.server;
content:"Rising", negate;
http.response_body;
bsize:36;
pcre:"/^([0-9A-F]{16}|[0-9a-f]{16})/";
pcre:"/([0-9A-F]{16}|[0-9a-f]{16})$/";
pcre:"/^[\s\S]{16}(.*)[\s\S]{16}$/";
pcrexform:"^[\s\S]{16}(.*)[\s\S]{16}$";
pcre:"/[\s\S]/";
base64;
flowbits:unset,Godzilla_webshell_request_match;
)
- alert http any any -> any any 表示对任何源IP和目的IP之间的HTTP流量生成告警。
- msg:"哥斯拉/Godzilla PHP Base64 连接成功" 是告警的描述信息。
- flow:from server,established 表示只对来自服务器端的已建立连接的流量进行检测。
- flowbits:isset,Godzilla webshell request match 检查名为"Godzilla webshell request match"的流状态位是否已被设置。(注意这里使用了isset而不是txisset)
- http.server 表示只对HTTP服务器响应进行检测。
- content:!"Rising" 表示检测HTTP响应正文中不包含字符串"Rising"。
- http.response body 表示对HTTP响应的正文部分进行检测。
- bsize:36 指定只检测响应正文的前36个字节。
- pcre:"/^([0-9A-F]{16}|[0-9a-f]{16})/"和pcre:"/([0-9A-F]{16}|[0-9a-f]{16})$/" 使用Perl兼容正则表达式(PCRE)检测响应正文是否以16个十六进制字符开头和结尾。
- pcre:"/^[\s\S]{16}(.*)[\s\S]{16}$/"和pcrexform:"^[\s\S]{16}(.*)[\s\S]{16}$" 使用PCRE检测响应正文是否符合特定的模式,即以16个任意字符开头,任意字符串为中间部分,再以16个任意字符结尾。
- pcre:"/[\s\S]/" 匹配响应正文中的单个被方括号包围的任意字符。
- isbase64:3 表示对匹配到的内容进行Base64解码,并检查解码后的字节数是否是3的倍数。
- flowbits: unset,Godzilla webshell request match 清除名为"Godzilla webshell request match"的流状态位。