0x00 前言 “webshell” 这个关键字在黑与白的术语中经常出现，它具有操作目标web站点的文件权限，…

前言 想了好久的题目，不知道该用什么样的标题去吸引人，webshell的检测研究已经有很多文章披露了，在兜哥的…

前言 在上文《基于AST的Webshell检测》中，笔者已经提出了基于抽象语法树是可以用来检测Webshell…

前言 无字母数字 Webshell 是个老生常谈的东西了，之前打 CTF 的时候也经常会遇到，每次都让我头大。…

H-Sphere Webshell diskusage.cc Buffer Overflow Vulnerab…

H-Sphere Webshell Command2.CC Zipfile URI Parameter Com…

H-Sphere Webshell flist() Buffer Overflow Vulnerability…

webshell是Web攻击中常见的一种木马形式，目前主流的检测方法都是基于HTTP请求和响应流量的内容特征，然而在HTTPS协议下，很多webshell 检测机制是无能为力的。冰蝎这类加密型webshell的出现更是增加了检测难度，尤其是冰蝎3.0版本采用预共享密钥机制，即使在HTTP场景中的检测也是有一定难度的。本文通过提取网络流量中的若干特征，主要针对访问同一HTTPS网站的正常加密流量和webshell加密流量的分类进行了探索，实现了在HTTPS加密流量中webshell通信流量的识别，无论对于冰蝎2.0还是3.0升级版，都能够达到很好的识别效果。

拿下一个站后总希望自己的后门能够很隐蔽！不让网站管理员或者其他的Hacker发现，网上关于隐藏后门的方法也很多，如加密、包含，解析漏洞、加隐藏系统属性等等，但大部分已经都不实用了，随便找一个查马的程序就能很快的查出来，下面分享我总结的一些经验：