Webshell 工具 - Emberlag

一、工具对比概览#

特性	蚁剑	冰蝎	哥斯拉
开发语言	PHP/Node.js	Java	Java
流量特征	明文+Base64	动态二进制加密	动态加密
连接方式	短连接	长连接（Keep-Alive）	HTTP 请求
自定义传输协议	编码器/解码器	✅ 传输协议自定义	✅ 支持
主要优势	轻量、易用	流量加密强、功能全面	跨平台、支持多语言
运行环境	浏览器/桌面	JRE 8+	JRE 8+

二、冰蝎（Behinder）#

2.1 安装与启动#

环境要求： JRE 8+

1
java -jar Behinder.jar

2.2 使用流程#

1
1. 生成 WebShell
2
   └── 传输协议菜单 → 生成服务端脚本
3

4
2. 客户端连接
5
   └── 右键添加服务器 → 选择对应加密协议
6

7
3. 管理服务器
8
   ├── 基本信息
9
   ├── 命令执行
10
   ├── 虚拟终端
11
   ├── 文件管理
12
   ├── Socks 代理
13
   ├── 反弹 Shell
14
   ├── 数据库管理
15
   └── 自定义代码

2.3 通信加密原理#

1
1. 本地对 Payload 进行加密 → POST 发送
2
2. 服务端收到密文 → 解密
3
3. 执行 Payload → 获取结果
4
4. 服务端对执行结果加密 → 返回
5
5. 客户端解密响应 → 得到明文

传输协议组成：

1
传输协议 = 本地协议（Java实现）+ 远程协议（PHP/C#/ASP/Java）
2
         ├── 本地加解密函数
3
         └── 远程加解密函数（至少一个语言）

💡 修改 AES 密钥需同时修改本地和远程的加解密函数。

2.4 冰蝎 4.0 流量特征#

特征	说明
Accept	`application/json, text/javascript, /; q=0.01`（弱特征）
Content-Type	`Application/x-www-form-urlencoded`（弱特征）
User-Agent	内置十几个 UA，随机选择
本地端口	约 49700 左右，每次连接递增
连接类型	长连接，`Connection: Keep-Alive`
请求头特征	`dFAXQVILORcHRQrLRIwMAhwFTAg/M`
响应头特征	`TxcWR1NNExZAD0ZaAWMPIAZJh1IBFBFtHThcJSIUXWEd`
默认密钥	`e45e329feb5d925b`（与 3.0 相同）

2.5 流量绕过方法#

方法	说明
自定义传输协议	修改加解密算法和密钥
修改 User-Agent	模拟正常浏览器
代理中转	通过代理工具转发流量
修改 Accept/Content-Type	模拟正常 API 请求

三、哥斯拉（Godzilla）#

3.1 启动#

1
java -jar Godzilla4.0.1.jar

切换中文：

1
Configure → Program Configuration → Core Configuration → Language → zh
2
重启生效

3.2 使用流程#

1
1. 生成 WebShell
2
   └── 管理 → 生成 → 选择语言（PHP/ASP/JSP）
3

4
2. 上传 WebShell 到目标服务器
5

6
3. 连接
7
   ├── 添加目标：http://目标IP/gsl.php
8
   ├── 选择对应语言
9
   └── 配置连接密码
10

11
4. 成功连接 → 进入管理界面
12
   ├── 基础信息
13
   ├── 命令执行
14
   └── 文件管理

3.3 哥斯拉流量特征#

特征	说明
首次请求	发送大量数据，不含 Cookie
Cookie	末尾有分号 `;`（关键特征）
User-Agent	默认暴露 JDK 信息（弱特征，可去除）
Accept	`text/html, image/gif, image/jpeg, ; q=.2, /*; q=.2`（弱特征）
响应体	md5 前16位 + Base64 数据 + md5 后16位

3.4 流量绕过方法#

方法	说明
自定义 HTTP 头部	修改 User-Agent、Accept 等
自定义加密	修改传输加密方式
代理转发	使用中间人代理

四、蚁剑（AntSword）#

4.1 基础配置#

设置代理（抓包）#

1
蚁剑配置 → 代理设置 → 填写 Burp Suite 监听地址（127.0.0.1:8080）

编码器目录#

1
antSword/antData/encoders/

4.2 蚁剑流量特征#

特征	说明
请求体开头	`@ini_set("display_errors","0");@set_time_limit(0)`
响应体格式	`随机数 + Base64数据 + 随机数`

4.3 使用编码器绕过 WAF#

添加编码器#

将编码器解压到 antSword/antData/encoders/ 目录
在蚁剑中进入编码设置界面
选择对应的编码器

RSA 编码器#

1
1. 生成 RSA 密钥对
2
2. 生成对应的 RSA 木马
3
3. 上传木马到目标服务器
4
4. 配置编码器 → 选择 RSA

AES 编码器#

1
1. 获取木马内容（修改密码）
2
2. 保存到目标服务器
3
3. 配置编码器 → 选择 AES
4
4. 浏览器访问一次木马获取会话编号
5
5. 配置会话编号

4.4 编码器类型#

编码器	说明
`default`	默认（不推荐）
`base64`	Base64 编码
`chr`	ASCII 字符编码
`rot13`	ROT13 编码
`aes_128_ecb_zero_padding`	AES-128-ECB 加密
`aes_256_cfb_zero_padding`	AES-256-CFB 加密
`rsa`	RSA 非对称加密

五、流量绕过综合方法#

5.1 编码/加密绕过#

方法	原理
自定义编码器	自定义加解密算法，避免特征被检测
RSA 加密	非对称加密传输数据
AES 加密	对称加密传输数据
多重编码	base64 + ROT13 + 自定义混淆

5.2 代理绕过#

1
# 使用代理工具转发流量
2
蚁剑/冰蝎 → 本地代理 → 代理服务器 → 目标

5.3 流量混淆#

方法	说明
修改 User-Agent	模拟不同浏览器
修改 Content-Type	模拟正常 API
添加无用参数	增加噪声数据
分片传输	将数据拆分为多个小包

📌 快速参考卡片#

启动命令#

1
# 冰蝎
2
java -jar Behinder.jar
3

4
# 哥斯拉
5
java -jar Godzilla4.0.1.jar

核心特征速查#

工具	最明显特征
蚁剑	请求体 `@ini_set("display_errors","0")`
冰蝎	长连接 + 固定密钥 `e45e329feb5d925b`
哥斯拉	Cookie 末尾分号 + 响应体 md5 拆分

流量绕过口诀#

1
改 UA，改 Accept，
2
自定义加密最有效，
3
代理转发分片传，
4
特征隐藏查不到。

音乐

音乐

一、工具对比概览#

二、冰蝎（Behinder）#

2.1 安装与启动#

2.2 使用流程#

2.3 通信加密原理#

2.4 冰蝎 4.0 流量特征#

2.5 流量绕过方法#

三、哥斯拉（Godzilla）#

3.1 启动#

3.2 使用流程#

3.3 哥斯拉流量特征#

3.4 流量绕过方法#

四、蚁剑（AntSword）#

4.1 基础配置#

设置代理（抓包）#

编码器目录#

4.2 蚁剑流量特征#

4.3 使用编码器绕过 WAF#

添加编码器#

RSA 编码器#

AES 编码器#

4.4 编码器类型#

五、流量绕过综合方法#

5.1 编码/加密绕过#

5.2 代理绕过#

5.3 流量混淆#

📌 快速参考卡片#

启动命令#

核心特征速查#

流量绕过口诀#

文章分享

评论区