冰蝎3.0Beta2在2020年8月份公布，和v2.1对比，最重要的转变便是“除去动态性密匙协议传

输体制，选用预共享资源密匙，全程无密文互动，密匙文件格式为md5("admin")[0:16，此次更

新的目的是为了把功能以及加密传输和防止被WAF查杀。
 

没了秘钥交换过程，在冰蝎v2.1中的显著的总流量特点“回到內容必然是16位的密匙回到包

检验标准：^[a-fA-F0-9]{16}$）消退，给流量检测产生了更大的艰难。

 

 

以php版本的shell为例子，默认设置的密匙为“p26w129fe12e171q”，根据md5("rebeyond")

[0:16]获得，在其中“rebeyond”是冰蝎3.0的默认设置的登录密码。第一个包关键功效是开展

密匙key的认证，依据AES加密技术和预共享资源key，对捉到的数据加密要求开展破译：

再对AES破译后的base64编号內容开展编解码，得到 破译后的post数据信息：假如服务器

端回到$content自变量"93b5ca86-1a0a-48a6-8929-00529a33cedf"历经数据加密后的值，

则觉得key验证成功，开展事后步骤，以后的通讯全线数据加密。

 

 

因为key是网络攻击预设，没法像2.0版本号那般根据回到包获得，因此对数据加密总流量

没法破译，必须精准定位到冰蝎webshell后门才可以得到。冰蝎v3.0版的免杀效果也在逐

渐增加，Webscan和dshield扫描对目前的冰蝎3.0嵌入式五个脚本后门诊断率仅为20%，

实际效果显著。

 

 

 

从总流量侧开展检验的较难，在网上有大佬还是可以依据包的长短特点、content-type、

ua等方法找到一些特点，但在真正的业务流程自然环境中的检验实际效果也有待检验。

换一个构思，总流量层的检验工作能力也是有限制的，非常是针对数据加密的总流量，

只靠总流量层的安全机器设备是不足的，依照深度防御力的核心理念，能够试着从网络

层、系统软件层的视角开展检验。以WAF网络层检测为例，现在防火墙的安全检测技术

仍然可以很好地测试冰蝎3.0的攻击行为，建议大家日后对于这些攻击如果不能准确防御

的话可以联系网站安全公司来解决，国内像SINE安全,绿盟,鹰盾安全，启明星辰都是具

有丰富安全防护经验的。