Ò»
ʲôÊÇwebshell
¡°web¡±µÄº¬ÒåÊÇÏÔÈ»ÐèÒª·þÎñÆ÷¿ª·Åweb·þÎñ£¬¡°shell¡±µÄº¬ÒåÊÇÈ¡µÃ¶Ô·þÎñÆ÷ijÖ̶ֳÈÉϲÙ×÷ȨÏÞ¡£webshell³£³£±»³ÆΪÄäÃûÓû§£¨ÈëÇÖÕߣ©Í¨¹ýÍøÕ¾¶Ë¿Ú¶ÔÍøÕ¾·þÎñÆ÷µÄijÖ̶ֳÈÉϲÙ×÷µÄȨÏÞ¡£
¼òµ¥Àí½â£ºwebshell¾ÍÊÇÒ»¸öwebµÄÒ³Ã棬µ«ÊÇËüµÄ¹¦Äܷdz£Ç¿´ó¿ÉÒÔ»ñµÃһЩ¹ÜÀíÔ±²»Ï£ÍûÄã»ñµÃµÄȨÏÞ£¬±ÈÈçÖ´ÐÐϵͳÃüÁɾ³ýwebÒ³Ãæ¡¢ÐÞ¸ÄÖ÷Ò³µÈ¡£
webshellÖÐÓÉÓÚÐèÒªÍê³ÉһЩÌØÊâµÄ¹¦ÄܾͲ»¿É±ÜÃâµÄÓõ½Ò»Ð©ÌØÊâµÄº¯Êý£¬ÎÒÃÇÒ²¾Í¿ÉÒÔ¶Ô×ÅÌØÕ÷Öµ×ö¼ì²éÀ´¶¨Î»webshell£¬Í¬ÑùµÄwebshell±¾ÉíÒ²»á½øÐмÓÃÜÀ´¶ã±ÜÕâÖÖ¼ì²â¡£
¶þ webshell³¤Ê²Ã´Ñù×Ó
ÏÂͼ¾ÍÊÇÒ»ÕÅphp webshellµÄ½Øͼ£¬ËüµÄ¹¦ÄÜ»¹ÊDZȽÏÈ«µÄ£¬Èç¹ûÄãÊÇÍøÕ¾¹ÜÀíÔ±µÄ»°¿Ï¶¨ÊDz»Ï£ÍûÆÕͨÓû§»ñµÃÏÂÃæµÄȨÏ޵ġ£
Èý webshell¼ì²âÓÐÄÄЩ·½·¨
Èç¹ûÄ㻳ÒÉÄãµÄÍøÕ¾±»ÈËÉÏ´«ÁËwebshell»òÕßÄãÐèÒª¼ì²éÒ»ÏÂÐèÒªÉÏÏߵĴúÂëÖÐÊÇ·ñ±»Ç¶ÈëÁËshell´úÂ룬¾ÍÐèÒª¶ÔÕâЩÎļþ½øÐÐɨÃ裬ÄÇôÓÐÄÄЩ·½·¨¿ÉÒÔɨÃè³öÕâЩwebshellÄØ£¿
ÏÂÃæÁоÙһϣ¬Ò²¾ÍÊÇÎÒÃǵÄwebshellɨÃ蹤¾ßÖÐʵÏֵŦÄÜ¡£
1 ÇóÎļþµÄÖغÏÖ¸Êýindex of coincidence£¨ËõдΪIC£©
Ê×ÏȽéÉÜÒ»ÏÂʲôÊÇIC£¿
ICÊÇÓÃÀ´ÅжÏÎļþÊÇ·ñ±»¼ÓÃܵÄÒ»ÖÖ·½·¨¡£ËüµÄ¼ÆË㹫ʽÊÇÕâÑùµÄ£º
¦²(fi * (fi-1))/N(N-1) £ºfi ´ú±íÑù±¾ÖÐij¸ö×Öĸ³öÏֵıÈÂÊ£¬N´ú±í×Öĸ³öÏÖÔÚÑù±¾ÖеĸöÊý |
ͨ¹ý¼ÆË㣬ÎÒÃÇ¿ÉÒԵõ½ÒÔÏÂÁ½¸öÖµ£º
englishµÄICֵΪ0.0667£¬ englishÖÐÒ»¸öÍêÈ«Ëæ»úµÄ×Ö·û´®µÄICֵΪ0.0385 |
ÄÇôÕâÁ½¸öÖµÓÐʲôÒâÒåÄØ£¿
¼òµ¥À´Ëµ£¨english£©£¬
¼ÓÃÜÎļþµÄICÖµ½Ó½ü0.0385
Ã÷ÎÄÎļþµÄICÖµ½Ó½ü0.0667
ºÃÁË£¬ÄÇôÎÒÃǾͿÉÒÔ¼ÆËãÿ¸öÎļþµÄICÖµ£¬Èç¹ûÕâ¸öÎļþµÄICÖµ½Ó½ü0.0385£¬ÄÇôÎÒÃÇÈÏΪËüÊǼÓÃܵģ¬¶øÒ»¸öwebÖмÓÃܵÄÎļþÒ»°ã¾ÍÒâζ×ÅËüÊǸöΪÁËÌӱܼì²âµÄwebshell¡£
2 ÇóÐÅÏ¢ìØ
ÐÅÏ¢ìØÊÇÒ»¸öÊýѧÉÏÆÄΪ³éÏóµÄ¸ÅÄÔÚÕâÀï²»·Á°ÑÐÅÏ¢ìØÀí½â³ÉijÖÖÌض¨ÐÅÏ¢µÄ³öÏÖ¸ÅÂÊ£¨ÀëÉ¢Ëæ»úʼþµÄ³öÏÖ¸ÅÂÊ£©¡£Ò»¸öϵͳԽÊÇÓÐÐò£¬ÐÅÏ¢ìؾÍÔ½µÍ£»·´Ö®£¬Ò»¸öϵͳԽÊÇ»ìÂÒ£¬ÐÅÏ¢ìؾÍÔ½¸ß¡£ÐÅÏ¢ìØÒ²¿ÉÒÔ˵ÊÇϵͳÓÐÐò»¯³Ì¶ÈµÄÒ»¸ö¶ÈÁ¿¡£
ìØÊÇ´ÓÕû¸ö¼¯ºÏµÄͳ¼ÆÌØÐÔÀ´¿¼Âǵģ¬Ëü´Óƽ¾ùÒâÒåÉÏÀ´±íÕ÷ÐÅÔ´µÄ×ÜÌåÌØÕ÷£¬Æ乫ʽΪ£º
Èç¹ûÓÐÒ»¸öϵͳSÄÚ´æÔÚ¶à¸öʼþS = {E1,¡,En}, ÿ¸öʼþµÄ»úÂÊ·Ö²¼ P = {p1, ¡,
pn}£¬Ôòÿ¸öʼþ±¾ÉíµÄѶϢΪ
£¨¶ÔÊýÒÔ2Ϊµ×£¬µ¥Î»ÊÇλԪ(bit)£©
£¨¶ÔÊýÒÔeΪµ×£¬µ¥Î»ÊÇÄÉÌØ/nats£©
ÈçÓ¢ÓïÓÐ26¸ö×Öĸ£¬¼ÙÈçÿ¸ö×ÖĸÔÚÎÄÕÂÖгöÏÖ´ÎÊýƽ¾ùµÄ»°£¬Ã¿¸ö×ÖĸµÄѶϢÁ¿Îª
I_e = -\log_2 {1\over 26} = 4.7 |
¶øºº×Ö³£ÓõÄÓÐ2500¸ö£¬¼ÙÈçÿ¸öºº×ÖÔÚÎÄÕÂÖгöÏÖ´ÎÊýƽ¾ùµÄ»°£¬Ã¿¸öºº×ÖµÄÐÅÏ¢Á¿Îª
I_e = -\log_2 {1\over 2500} = 11.3 |
Õû¸öϵͳµÄƽ¾ùÏûÏ¢Á¿Îª
H_s = \sum_{i=1}^n p_i I_e = -\sum_{i=1}^n p_i \log_2 p_i |
Òò´ËÎÒÃÇ¿ÉÒÔÇóÿ¸öÎļþµÄÐÅÏ¢ìØÖµ£¬ÖµÔ½´ó£¬ÎªwebshellµÄ¿ÉÄÜÐÔÔ½¸ß¡£
3¡¢ÇóÎļþÖеÄ×µ¥´Ê
ÇóÒ»¸öÎļþÖеÄ×µ¥´ÊÊǶ೤£¬±È½ÏÒì³£µÄ³¤µ¥´ÊÊǺܿÉÒɵġ£ÈçÏÂÃæµÄµÚһλµÄÓÐ84070£¬ºÁÎÞÒÉÎÊËûÊǼÓÃܺóµÄÒ»Õû´®×Ö·û´®£¬¼«ÓпÉÄÜÊÇwebshell
84070 /home/wwwroot/default/webshell/css.php |
4¡¢ÎļþµÄ¿ÉѹËõ±È
ÎļþµÄѹËõ±È=ѹËõÎļþºóµÄ´óС/ÎļþµÄÔʼ´óС¡£
ÄÇôʲôÑùµÄÎļþµÄѹËõ±È±È½Ï´óÄØ£¿Õâ¾ÍҪ˵µ½Ñ¹ËõËã·¨µÄ±¾ÖÊ£º
ѹËõµÄʵÖÊ£¬ÔÚÓÚÏû³ýÌض¨×Ö·û·Ö²¼ÉϵIJ»¾ùºâ£¬Í¨¹ý½«¶ÌÂë·ÖÅä¸ø¸ßƵ×Ö·û£¬¶ø³¤Âë¶ÔÓ¦µÍƵ×Ö·ûʵÏÖ³¤¶ÈÉϵÄÓÅ»¯¡£
×öÁ˸ö¼òµ¥µÄʵÑ飺½«Ò»¸ötxtÎļþÖÐÌî³äÁËÒ»¶ÑµÄa×Ö·û£¬×Ü´óСΪ345KB£¬ÓÃ7zѹËõºóΪ1K
ÄÇôÎÒÃÇÊÇ·ñ¿ÉÒÔÕâÑùÀí½â£¬ÓÉbase64±àÂë¹ýµÄÎļþ£¬Ïû³ýÁË·ÇasciiµÄ×Ö·û£¬ÕâÑùʵ¼ÊÉÏbase64±àÂë¹ýµÄÎļþµÄ×Ö·û¾Í»á±íÏÖΪ¸üСµÄ·Ö²¼µÄ²»¾ùºâ£¬Ñ¹Ëõ±È¾Í»á±ä´ó¡£
5¡¢ÌØÕ÷ֵƥÅä
ÕâÀïÌáµ½µÄÌØÕ÷ֵƥÅä·ÖΪ2¸ö²¿·Ö£ºµÚÒ»¸öÊÇÆ¥ÅäÌØÕ÷º¯ÊýºÍ´úÂ룬Ҳ¾ÍÊÇ˵webshellÖлáÓõ½µÄ¶øÒ»°ãÎļþ²»»áÓõ½µÄº¯ÊýºÍ´úÂë¡£µÚ¶þ¸öÊÇָƥÅäÌض¨webshellÖеÄÌØÕ÷Öµ¡£
µÚÒ»ÖÖÇé¿öÎÒÃÇÐèÒª¶ÔÕâЩº¯ÊýºÍÌØÕ÷´úÂë×öÕûÀí£¬È»ºóÓëÎļþ½øÐÐÆ¥Åä¡£
µÚ¶þÖÖÇé¿öÐèÒªÊÕ¼¯³öÏÖ¹ýµÄwebshell£¬½«ÆäÖеÄÌØÕ÷ÂëÌáÈ¡³öÀ´¡£Ä¿Ç°ÒÑÖªµÄ¿âλ500¸öwebshellµÄÌØÕ÷¿â£¬¿ÉÒÔ׼ȷʶ±ð99%µÄÒÑÖªµÄwebshell¡£
6¡¢ÎļþÊôÐÔ
µÚÒ»ÖÖ£ºÔÚweb·þÎñÆ÷ÖУ¬ÎļþÒ»°ãµÄ´´½¨Ê±¼äÊǼ¸Öֵģ¬Èç¹ûijЩÎļþµÄ´´½¨Ê±¼ä±È½ÏÒì³££¬ÄÇôËü¾ÍÓпÉÄÜÊÇwebshell¡£
µÚ¶þÖÖ£ºÔÚweb¹¥»÷¹ý³ÌÖУ¬ÓÐÒ»ÖÖÊÖ·¨ÊÇÀûÓÃmysqlµ½³öÒ»¾ä»°Ä¾Âíµ½webĿ¼ÖУ¬ÄÇôÕâ¸öµ¼³öµÄÎļþÓÐÆäÌØÊâÐÔ£¬ËùÓе¼³öµÄÎļþµÄȨÏÞ¶¼ÊÇ666.ÄÇôÎÒ¿ÉÒÔÕâôÈ϶¨£¬È¨ÏÞΪ666µÄÎļþÓпÉÄÜÊÇwebshell¡£
ËÄ ÆÓËر´Ò¶Ë¹Ä£ÐÍ
ÒÔÉϼ¸ÖÖ·½·¨¶¼ÓÐÆä׼ȷÂʺÍÎó±¨Çé¿ö£¬¾¹ý²âÊÔ£¬Ã¿¸ö·½·¨¶¼Äܼì²â³öÒ»²¿·Öwebshell²¢ÇÒ´æÔÚ×ÅÒ»¶¨³Ì¶ÈµÄÎ󱨣¬ÄÇôÈçºÎ½«ËûÃǵļì²â½á¹ûÕûºÏÆðÀ´£¬À´¸ü׼ȷµÄÅж¨Ò»¸öÎļþÊÇ·ñwebshell£¿
ÓÉÓÚÎÒÃǵļì²â·½·¨»ù±¾ÉÏÊÇÀëÉ¢µÄ£¬ËùÒÔ¿¼ÂÇʹÓÃÆÓËر´Ò¶Ë¹Ä£ÐÍ¡£
Ê×ÏÈÓÃÊýѧÓïÑÔÃèÊöÒ»ÏÂÎÒÃǵÄÎÊÌ⣺
Ò»¸öÎļþµÄ¼ì²â½á¹ûÓÐÁ½ÖÖ£ºÊÇwebshellºÍ²»ÊÇwenshell¡£ÄÇô¼ì²â½á¹ûÊÇwebshellµÄ¸ÅÂÊÎÒÃÇÓÃP£¨y=1£©À´±íʾ£¬¼ì²â½á¹û²»ÊÇwebshellµÄ¸ÅÂÊÎÒÃÇÓÃP£¨y=0£©À´±íʾ¡£
¼ÙÉèÎÒÃǵļì²â·½·¨ÓÐ5ÖÖ£¬ÄÇôx = [x1,x2,x3,x4,x5].
¼ÙÉèÎÒÃǼì²âÒ»¸öÎļþºó¸÷¸ö¼ì²â·½·¨µÄ½á¹ûΪ£ºx1 = 1£¬x2=0£¬x3=0£¬x4=0£¬x5=1
ÄÇôÎÒÃǵÄÄ¿µÄÊǼÆËã³öP(y=1|x)ºÍP(y=0|x)¡£Ò²¾ÍÊǼÆËã³ö¸ÃÎļþÊÇwebshellºÍ²»ÊÇwebshellµÄ¸ÅÂʸ÷ÊǶàÉÙ£¬¸ÅÂʸü´óµÄÎÒÃǾÍ×öΪ×îÖÕ½á¹û¡£
ÏÂÃæÎÒÃÇÍÆÑÝһϣº
Ê×ÏÈÊDZ´Ò¶Ë¹¹«Ê½Îª£º
ÄÇôÎÒÃÇÐèÒªµÄP(y=1|x)Ϊ£º
ÓÉÓÚP(y=1|x)ºÍP(y=0|x)ÖеķÖĸ¶¼ÊÇÒ»ÑùµÄ£¬ËùÒÔÎÒÃÇÖ»ÒªÇó³ö·Ö×Ó½øÐбȽϣ¬ÄǸöÖµ±È½Ï´ó¾ÍÈ¡ÄǸöÖµ¡£
ÏÖÔÚÎÒÃÇδ֪µÄֵΪp(x1=1|y=1)£¬p(x2=0|y=1)£¬p(x3=0|y=1)£¬p(x4=0|y=1)£¬p(x5=1|y=1)£¬p(y=1)
ÕâЩֵӦ¸ÃÈçºÎµÃµ½ÄØ£¿
Ê×ÏÈÎÒÃÇÐèÒªÒ»¸öÑù±¾£¬Ñù±¾ÖдóÁ¿µÄwebÎļþ£¬ÆäÖлìÓи÷ÖÖwebshell£¬ÕâЩ±êÇ©ÎÒÃÇÊÇ¿ÉÒÔÈ·¶¨µÄ£¬ÄÇôÏÂÃæÎÒÃÇÒª×öµÄ¾ÍÊÇÀûÓóÌÐò¶ÔÕâЩÑù±¾½øÐмì²â£¬¸ù¾Ý¼ì²â½á¹û¼ÆËã³öÎÒÃÇÐèÒªµÄÖµ£¬±ÈÈ磺
p(x1=0|y=1):Ëü´ú±íµÄÒâ˼¾ÍÊǼì²âµÄÎļþÊÇwebshell£¬ÀûÓÃx1¼ì²â·½·¨µÄ¼ì²â½á¹ûΪ0£¨²»ÊÇwebshell£©
Èç¹û½á¹ûΪP(y=1|x)>P(y=0|x)£¬ÎÒÃǾÍÅж¨¸ÃÎļþÊÇwebshell¡£
¹¤¾ß»ØÍ·»áÔÚFB·¢²¼£¬¾´ÇëÆÚ´ý¡£
|