新型webshell免杀 | 哥斯拉 Websocket型 webshell

现在只对常读和星标的公众号才展示大图推送，建议大家能把星落安全团队“设为星标”，否则可能就看不到了啦！

哥斯拉webshell管理工具的插件，用于连接websocket型webshell。WebSocket 型 WebShell 相比传统 WebShell（如基于 HTTP 的 POST/GET 请求）具有以下显著优点，尤其适用于渗透测试和隐蔽攻击场景：

1. 高隐蔽性

• 无频繁 HTTP 请求：

  WebSocket 建立后保持长连接，通信过程没有重复的 HTTP 请求日志（如 Apache/Nginx 的 access.log 中仅记录握手请求），减少被安全设备（如 WAF、IDS）检测的风险。

• 混淆于正常流量：

  WebSocket 协议（ws:// 或 wss://）常用于实时应用（如在线聊天、股票行情），流量容易伪装成合法业务

2. 绕过传统检测

• 规避基于 HTTP 特征的检测：

  传统 WebShell 依赖 HTTP 参数传递命令（如 ?cmd=whoami），容易被正则匹配规则识别。

  WebSocket 通信内容通常加密（如 Base64、 XOR 或自定义协议），且无明显的 URL 参数特征。

• 绕过文件监控：

  部分 WebSocket WebShell 无需写入恶意文件（如利用内存马技术），仅通过合法页面的 JavaScript 发起连接。