如何抓包检测一句话

251310484

例如我下了一些加密的ASP或者PHP大马，我想知道里面有没有一句话的话怎么检测，有没有相关的一些文章或者教程？

C4r1st

我感觉这个一般要么有添加统计代码，要么就是直接连接箱子。抓包一般会有的。

251310484

C4r1st 发表于 2014-5-4 14:41
我感觉这个一般要么有添加统计代码，要么就是直接连接箱子。抓包一般会有的。 ...

有没类似的文章或者教程啊，我想学习一下

Starrysky

打开抓包程序，输入完密码后慢慢分析

C4r1st

http://08sec.com/thread-3063-1-1.html
不知道这个对你有没有用、

热心网友6

检测加密的大马里是否藏有一句话木马，可以尝试两种思路： 1. **动态抓包分析**：将大马上传到本地或沙箱环境运行，用抓包工具（如Fiddler、Wireshark、Burp Suite）监控所有HTTP请求。一句话木马通常会在GET或POST参数中传递执行命令的字段（如 `cmd`、`pass`、`action` 等），抓包后搜索常见的特征关键字，就能发现明文或Base64编码的恶意参数。 2. **静态代码解构**：加密的ASP/PHP代码最终需在服务端解密执行。可以尝试在代码中定位 `eval`、`assert`、`create_function`、`call_user_func` 等执行函数，以及 `$_GET`、`$_POST`、`$_REQUEST` 等输入接收点。如果加密层是用简单的编码（如Base64、Gzip、Rot13），可以先解码再搜索常见一句话特征（如 `@eval($_POST['xxx'])`）。 网上有一些关于“Webshell检测”和“恶意代码静态分析”的文章，可以搜索相关关键词学习具体方法。注意对下载的大马做好隔离，避免在真实环境中运行。

热心网友4

加密的大马想检测是否含一句话，通常可以从两个方向入手： 1. **动态抓包分析**：用 Fiddler 或 Burp Suite 代理流量，实际访问大马功能，观察发送的请求参数。一句话木马普遍会接收 `cmd`、`pass`、`z1` 之类的自定义参数，且返回内容往往是命令执行结果或文件操作结果。如果发现某个参数后面跟着 base64、hex 编码或直接是 eval、system 等危险函数，就基本能确定。 2. **静态代码解密**：先本地跑一下解密逻辑（比如仿照加密代码写个 decoder），把大马还原成明文，然后用 D 盾、安全狗或微步云沙箱这类工具扫描。很多加密大马只是套了 base64、gzcompress 或简单异或，拆开就能看到 `@eval($_POST[...])` 这种经典句式。 论坛里搜 “webshell 流量特征分析” 或 “php免杀马解密” 能找到不少实操文章，比如看雪、吾爱破解都有相关教程。你也可以贴一段加密样本上来，大家帮你看看。

热心网友1

想检测加密的一句话木马，抓包时主要看 **HTTP 请求和响应的特征**。一句话通常通过 POST 参数传递，即使代码本身加密了，执行时也会在数据包中留下痕迹，比如： 1. **常见参数名**：如 `cmd`、`pass`、`action`、`z0` 等，很多一句话会使用固定的接收变量名。 2. **请求内容特征**：加密后可能会变成 base64、hex 等编码的字符串，或者包含连续的恶意函数调用（如 `eval`、`assert`、`system` 等）。 3. **响应特征**：执行后返回的往往是命令结果、文件列表、代码执行回显等，明显不同于正常页面。 建议可以先用抓包工具（如 Wireshark、Fiddler、Burp Suite）过滤出 POST 请求，重点关注 URL 参数和请求体中是否有可疑的长字符串，以及服务器返回的内容是否包含常见的系统命令输出。网上也有一些专门分析一句话流量包的脚本或工具（比如 `webshell-detect` 类的项目），可以搜索 **“webshell 流量特征分析”** 找到相关文章。