1. 项目概述从流量视角看攻防对抗在安全运营和应急响应的日常工作中我们常常会面对一个核心问题服务器上出现的异常访问究竟是自动化扫描器的“例行体检”还是攻击者已经上传了Webshell并正在进行后续的恶意操作这个问题直接关系到响应优先级和处置策略。如果只是扫描器流量我们可能只需要关注其扫描出的漏洞并修复但如果是Webshell的交互流量那就意味着系统可能已经失陷需要立即进行隔离、溯源和清除。“Webshell流量分析——常见扫描器AWVS,goby,xray流量特征分析”这个主题正是为了解决这个痛点。它试图教会我们如何像法医一样在混杂的网络流量中通过细微的特征来区分不同的“访客”。AWVS、Goby和Xray是当前渗透测试和攻击活动中最主流的几款工具理解它们的流量指纹就如同掌握了识别常见“罪犯”面孔的能力。这不仅对蓝队防守方构建检测规则、优化告警降噪至关重要对红队攻击方而言了解自身工具的暴露特征也能更好地进行隐蔽测试和流量伪装。本文将从一个实战分析者的角度深入拆解这三款工具在与可能存在Webshell的站点交互时所产生的HTTP流量特征。我们会从User-Agent、请求路径、参数规律、报文结构等多个维度进行对比并分享如何利用这些特征在真实的全流量数据包或日志中快速定位和定性可疑行为。最终目标是让你拿到一段流量或者一条日志能快速判断“哦这看起来像是AWVS在扫描目录”或者“这个请求的body结构很特殊像是Xray在测试命令执行漏洞”从而为后续动作提供关键决策依据。2. 核心分析思路与工具定位在进行具体的特征分析前我们必须先理清分析思路并理解每款工具的设计哲学和典型使用场景。不同的定位决定了它们会产生不同模式的流量。2.1 分析框架多维特征提取法单纯看一个请求的URL是远远不够的。我们需要建立一个多维度的特征分析框架就像给每个“访客”画一张复合画像。这张画像至少包含以下几个维度请求行特征包括请求方法GET/POST/PUT等、请求路径URI的规律。扫描器为了覆盖全面其爬虫或扫描引擎生成的路径往往具有特定模式例如大量尝试已知的Webshell路径如/cmd.jsp,/uploads/shell.php、管理后台路径如/admin,/wp-admin或者包含大量目录遍历../和参数污染?a1a2的测试用例。报文头特征这是最丰富的特征库。重点关注User-Agent很多扫描器有默认或可配置的UA虽然可修改但默认配置或懒于修改的情况占大多数。Cookie扫描器可能会携带特定的测试Cookie或对Cookie值进行模糊测试。*Accept/Accept-系列扫描器可能使用较旧或特定的值。自定义头部一些高级扫描器或插件可能会添加独特的HTTP头部用于通信或标识。请求体特征对于POST请求Body的内容是金矿。扫描器在测试SQL注入、命令执行、文件上传等漏洞时会构造具有明显攻击载荷的请求体。这些载荷通常包含SQL关键字UNION SELECT,SLEEP(、系统命令whoami,cat /etc/passwd、特殊的文件内容如Webshell的PHP代码等。其编码方式如多重URL编码、Base64和参数排列也有规律。时序与行为特征单个请求可能伪装但一系列请求组成的“行为”很难完全模仿。例如扫描节奏请求速率是否均匀、快速这是自动化工具的典型特征。探测序列是否先访问robots.txt再爬取站点地图然后进行漏洞扫描这是一个标准的扫描流程。错误触发是否在短时间内对同一URL提交了大量不同Payload触发大量4xx或5xx错误基于这个框架我们再去看AWVS、Goby和Xray就能更系统地理解它们的特征。2.2 工具定位与流量基调AWVS (Acunetix Web Vulnerability Scanner)老牌商业Web漏洞扫描器以深度爬取和严谨的漏洞检测著称。它的流量基调是“全面且规范”。其爬虫引擎会模拟浏览器行为但UA可识别系统地遍历整个网站目录树。它的扫描Payload通常经过精心设计用于精准触发漏洞Payload本身可能比较“经典”和“标准”。AWVS的流量给人的感觉是“训练有素的正规军”步骤清晰覆盖全面。Goby新兴的资产测绘和漏洞扫描工具红队向。它的流量基调是“快速且精准”。Goby首先是一个强大的端口扫描和资产识别工具其Web扫描模块更侧重于对识别出的特定服务如Weblogic, Jenkins, WordPress进行已知漏洞的快速探测。因此它的Web请求往往更具针对性直奔主题比如直接请求/wp-admin/admin-ajax.php或/console使用的Payload也多是公开漏洞的利用代码。Goby的流量像“特种部队”动作快目标明确。Xray一款专注于被动扫描的漏洞评估工具常与爬虫或代理联动。它的流量基调是“被动且智能”。Xray本身不主动发起扫描它分析经过它的流量通常作为BurpSuite插件或反向代理当发现某个请求参数点可能存在漏洞时它才会在原有请求的基础上智能地插入或修改Payload生成新的测试请求并发出。因此Xray的流量特征高度依赖于前置的浏览或爬虫流量但其注入的Payload具有非常鲜明的特征后面会详述。Xray像是一个“潜伏的狙击手”只在有把握的时候开枪。注意所有扫描器的默认特征都可以被有经验的使用者修改或伪装例如修改User-Agent、降低请求频率、使用代理池等。我们分析的是其“默认”或“常见”状态下的特征这在实战中依然能覆盖大部分自动化或初级攻击行为。3. 深度流量特征解析现在我们进入核心环节结合具体的数据包示例基于常见默认配置和社区分享的样本逐一拆解三款工具的指纹。3.1 AWVS流量特征详解AWVS的流量具有很高的辨识度尤其是在其爬虫和扫描阶段。1. User-Agent标识AWVS的默认User-Agent通常包含其品牌和版本信息这是最直接的特征。例如Mozilla/5.0 (Windows NT 10.0; Win64; x64) Acunetix-Web-Vulnerability-Scanner/15.0.0.200000或者其爬虫的UA可能为Acunetix-Web-Vulnerability-Scanner/15.0.0.200000 (Acunetix)即使使用者修改了UA有时在Cookie或请求头中也可能残留acunetix字样。2. 测试参数与路径特征爬虫目录AWVS会主动爬取诸如/admin,/backup,/logs,/phpmyadmin等常见敏感目录和文件。参数测试在测试SQL注入时AWVS会向参数注入大量特征字符串。例如测试时间盲注时可能会产生包含SLEEP(5)、WAITFOR DELAY 0:0:5的请求。这些Payload虽然常见但AWVS注入的格式和上下文有其特点。文件上传探测它会尝试上传带有Webshell代码的测试文件文件名可能为acunetix-wvs-test-for-file-upload-*.txt文件内容包含类似?php echo md5(‘acunetix_wvs’); ?的代码。这是一个非常强的指纹。XSS测试AWVS的XSS测试向量通常以acunetix或WVS开头例如在参数中注入“scriptalert(‘acunetix’)/script。3. 请求头特征AWVS可能会在请求中添加一些自定义头部例如X-Forwarded-For、X-Scanner等虽然这些可以被伪造但在默认配置下是线索。4. 行为序列特征AWVS的扫描通常始于一次完整的爬取你会看到它先访问首页然后跟随所有链接爬取过程中夹杂着漏洞测试。请求与请求之间间隔相对均匀可配置形成一个对目标站点结构探索非常全面的流量图谱。实操心得在日志分析系统中一条简单的规则是搜索User-Agent字段包含Acunetix或请求URL/body中包含acunetix_wvs、acunetix-wvs-test等关键字可以非常准确地告警AWVS扫描。对于修改了UA的则需要结合其扫描路径的广度和测试Payload的“规范性”来综合判断。3.2 Goby流量特征详解Goby的流量更“功利”与其资产发现能力紧密结合。1. 初始探测与指纹识别Goby在扫描Web服务前已经通过端口扫描识别出了服务类型。因此它的第一个Web请求往往就是针对该服务的特征探测或漏洞检测。例如识别出80端口运行着Apache 2.4.49它可能立刻发起针对CVE-2021-41773路径穿越漏洞的探测请求如GET /icons/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/etc/passwd HTTP/1.1这种“见面就打”的风格很Goby。2. 漏洞探测Payload特征Goby集成了大量漏洞的Exp其Payload通常是原版漏洞利用代码的复现。例如在测试ThinkPHP RCE时其请求可能直接包含POST /index.php?scaptcha HTTP/1.1 ... _method__constructfilter[]systemmethodgetserver[REQUEST_METHOD]whoami这种Payload直接、有效且与公开的漏洞利用代码高度一致。3. 请求路径的针对性Goby不会像AWVS那样做全站漫无目的的爬取。它的请求路径高度集中于已知的漏洞点、管理入口、API接口。比如针对Jenkins它会频繁请求/script,/manage针对WordPress会扫描/wp-login.php,/wp-content/plugins下的已知漏洞插件路径。4. User-Agent特征Goby的默认User-Agent可能包含Goby字样但相对容易被修改。更可靠的特征是其行为模式——针对特定服务的、快速的、连续的漏洞探测包。常见问题排查在防守方视角如果发现来自同一IP对服务器不同Web服务尤其是不同端口发起了一系列高度针对性的漏洞探测请求且这些请求跨越了多个不同的应用如先探测Weblogic再探测Jenkins接着是Tomcat这极有可能是Goby在针对整个IP段进行扫描。因为Goby的核心优势正是基于端口的资产识别和漏洞关联。3.3 Xray流量特征详解Xray的流量最具迷惑性因为它基于“原始流量”进行变异。1. 被动扫描与流量复制Xray的核心模式是你浏览网站/index.php?id1Xray捕获到这个请求然后它基于此生成测试请求/index.php?id1、/index.php?id1 AND 11等。因此它的请求方法、路径、大部分头部都与正常浏览流量一致。这是它隐蔽性的来源。2. Payload注入特征这是识别Xray流量的关键。Xray注入的Payload具有非常独特的“标记”和结构。时间盲注PayloadXray常用的时间盲注Payload格式如1 AND SLEEP(5)或1;SELECT SLEEP(5)。更重要的是它会在Payload中插入一个特殊的“指纹”例如sleep(5)的参数可能是一个随机数但结构固定。错误注入Payload它可能使用如1 AND 11和1 AND 12这样的组合来测试但这种组合比较常见。更特征性的是它用于探测数据库类型的Payload如convert(int,version)、extractvalue(1, concat(0x7e,version))等。XSS测试PayloadXray的XSS测试向量常常包含一个dsxz的标记例如scriptalert(‘dsxz’)/script。这个dsxz是Xray早期版本默认的测试字符串成为一个强特征。虽然可配置但很多使用者沿用默认。命令执行Payload在测试命令注入时它可能会使用带反引号或$()的Payload如;echo dsxz;或|echo dsxz|。3. 请求的“孪生”与“爆破”特性由于Xray是基于单个请求生成多个测试请求你会观察到在短时间内对同一个URL如/api/userinfo出现大量请求这些请求仅有个别参数值不同且这些值都像是精心构造的Payload。这种“参数爆破”模式不同于AWVS的广域爬虫也不同于Goby的跨服务探测它是针对单一点位的深度测试。4. 头部特征如果Xray配置为扫描器模式而非纯被动它可能会使用默认的UA如Xray/1.0。但在被动代理模式下UA与原请求一致。实操心得检测Xray流量的核心在于识别其Payload模式。在Web应用防火墙WAF或日志分析中可以建立规则检测包含sleep(、dsxz、extractvalue、convert(int等关键字的请求参数或Body。同时关注对同一URL的高频参数变异访问。一个技巧是如果发现大量请求都带有类似的、结构化的测试Payload且这些请求的Referer、Cookie等其他头部与之前某个正常会话一致那么Xray被动扫描的可能性就非常大。4. 与Webshell流量的对比分析与实战甄别分析了扫描器我们再来明确什么是Webshell流量并学习如何区分它们。这是防守方最关心的部分。4.1 Webshell流量的核心特征Webshell流量是攻击者与已植入服务器的恶意后门之间的交互。其核心目标是执行命令、上传下载文件、进行内网探测。因此它的特征围绕这些功能展开请求路径固定且隐蔽Webshell通常被上传到某个不易被发现的目录如/uploads/2024/logo.jpg.php、/include/tmp/cache.php。其访问路径是固定的不会像扫描器那样遍历大量路径。参数功能化请求参数直接对应后门功能。最常见的是使用一个参数传递要执行的系统命令。例如GET /uploads/shell.php?cmdwhoamiPOST /wp-content/themes/temp.phpBody:codesystem($_GET[‘x’]);xipconfig更隐蔽的会使用password、id、z0等作为“密码”或“命令”参数名如?z0echo ‘?php eval($_POST[‘c’]);?’ shell.php请求体包含恶意代码对于一句话木马如PHP的eval($_POST[‘pass’])真正的操作指令在POST Body中且经过编码如Base64。例如Body内容可能是passQGV2YWwoJF9QT1NUWydjJ10pOw解码后为eval($_POST[‘c’]);。扫描器虽然也测试漏洞但其Body内容更多是测试Payload而非完整的、可循环执行的恶意代码片段。交互性会话特征攻击者通过Webshell操作是一个“会话”过程。你可能会看到顺序执行的命令先whoami再pwd然后ls -la接着cat config.php。这种有逻辑顺序的命令执行流与扫描器随机、并发的测试流量截然不同。攻击者可能还会使用wget或curl下载二级工具产生对外部恶意IP的HTTP连接。流量低频与长连接与扫描器的高频、短连接不同真实的Webshell操作可能间隔很久如数小时一次但一次连接中可能通过分块传输编码等方式进行较多交互。4.2 实战甄别扫描器 vs. Webshell假设我们在日志中发现一条可疑请求POST /images/avatar.jpg.php场景A扫描器特征查看上下文同一IP在之前几分钟内还请求了/admin/login.php、/backup/old.sql、/cmd.jsp等数百个不同路径。该请求的Body内容是file?php echo ‘Acunetix Test’;?submitupload判断这是AWVS或类似扫描器在测试文件上传漏洞avatar.jpg.php是它尝试上传的测试文件名。这不是一个已存在的Webshell被访问。场景BWebshell特征日志中只有这个/images/avatar.jpg.php路径被该IP访问且之前无其他扫描行为。该请求的Body内容是csystem(“whoami”);几分钟后同一IP又对同一路径发起请求Body变为csystem(“cat /etc/passwd”);判断这高度疑似Webshell交互。路径隐蔽图片目录下php文件参数固定c执行了有逻辑顺序的系统命令。场景CXray被动扫描特征用户正常访问了/product.php?id123。随后同一会话相同Session ID或相近时间出现了/product.php?id123‘、/product.php?id123 AND 11等请求。这些请求的Referer都是正常的网站页面UA也是普通浏览器。判断这是Xray在用户浏览过程中进行的被动漏洞扫描。它本身不是攻击而是漏洞探测但需要关注它探测出的漏洞是否被真实利用。注意事项高级攻击者会进行“慢速扫描”或“低频攻击”并伪装UA和Payload使得流量特征模糊。此时需要结合威胁情报IP信誉、行为基线该IP历史行为是否异常和多个维度的关联分析如是否在非工作时间访问、是否访问了从未被访问过的文件来进行综合判断。没有一条规则是银弹但掌握这些基础特征是构建检测能力的起点。5. 构建检测策略与自动化分析思路了解了特征我们如何将其转化为实际的防御能力以下是一些构建检测策略的思路。5.1 基于日志/流量的检测规则示例你可以将这些规则部署在SIEM安全信息与事件管理系统、日志分析平台如ELK Stack或WAF中。1. 精确匹配规则高置信度低漏报# 检测AWVS rule: awvs_scanner condition: http.user_agent contains “Acunetix” OR http.uri contains “acunetix_wvs” # 检测Xray特定Payload rule: xray_sql_injection_test condition: http.param contains “sleep(” AND http.param contains “dsxz”) # 检测Webshell通用密码参数 rule: webshell_common_param condition: http.param_name in [“cmd”, “code”, “pass”, “password”, “z0”, “z1”, “c”] AND http.method “POST”2. 行为序列规则中置信度需关联# 检测Goby式多服务探测 rule: goby_like_multi_service_probe condition: src_ip 在5分钟内对当前主机访问了超过3个不同的非标准端口如7001, 8080, 9200的Web路径且这些路径包含已知漏洞探测特征如“console”, “wp-admin”。 # 检测扫描器目录遍历 rule: directory_bruteforce condition: src_ip 在1分钟内对当前主机发起超过50个请求且其中30%的响应码为404请求路径包含常见目录字典项如admin, backup, phpmyadmin。3. 统计异常规则低置信度高告警需复核# 检测异常低频Webshell访问 rule: low_and_slow_webshell condition: 对一个从未被访问过的、路径可疑如含.jpg.php的URI在非工作时间如凌晨2-5点产生了访问且该访问的User-Agent与网站正常流量基线不符。5.2 全流量回溯分析实战技巧当发生安全事件后全流量包pcap是最宝贵的分析素材。使用Wireshark或Zeek进行分析过滤与聚焦首先使用http过滤器查看所有HTTP流量。然后可以按http.user_agent排序快速找出非主流浏览器的UA。追踪TCP流右键点击可疑请求 - “追踪流” - “TCP流”。这将把整个会话的请求和响应完整呈现出来。这是分析Webshell交互和扫描器行为序列的最有效方法。在TCP流中你可以清晰地看到攻击者输入的命令和服务器的回显。查找文件上传在Wireshark中可以使用显示过滤器http.content_type contains “multipart/form-data”来筛选所有文件上传请求然后逐一检查上传的文件名和内容。导出对象使用“文件” - “导出对象” - “HTTP”可以导出所有通过HTTP传输的文件。这对于提取攻击者上传的Webshell文件或下载的恶意软件非常有用。实操心得在日常监控中不要只盯着“攻击”日志。大量的扫描流量本身就是一种威胁情报。建立一个扫描源IP库将频繁进行扫描的IP地址加入监控名单或临时黑名单。这些IP很可能在后续发动真实攻击。同时定期回顾被扫描器探测到的漏洞点及时修复这才是安全运营的闭环。6. 总结与进阶思考通过以上分析我们可以看到AWVS、Goby、Xray这三款主流工具的流量各有其“性格”指纹。AWVS像教科书全面规范Goby像突击队快速精准Xray像变色龙隐蔽而智能。而真实的Webshell流量则带有明确的目的性和交互性。对于防守方而言掌握这些特征意味着能够快速告警分类将海量安全告警中的“扫描噪声”与“真实攻击”初步分离提升应急响应效率。精准溯源拦截一旦确认攻击可以根据流量特征反推攻击者可能使用的工具链甚至找到其配置上的失误如未改默认UA。优化防护策略针对性地制定WAF规则、IPS特征码封堵常见扫描和攻击路径。对于攻击方在授权测试中了解这些则意味着更好地隐蔽自身修改默认配置伪装流量降低被检测到的概率。理解防守视角知己知彼知道哪些行为容易触发告警从而设计更迂回的攻击路径。最后需要强调的是安全是一个动态对抗的过程。工具在更新攻击手法在进化检测技术也在发展。本文所列举的特征是当前阶段的常见情况。真正的安全能力不在于记住这些特征而在于掌握“流量特征分析”这种方法论——即从协议、行为、载荷多个维度去观察、归纳、验证并持续更新自己的知识库。建议你在自己的实验环境中亲自抓取这些工具的流量进行分析感受会更加深刻。只有亲手解剖过你才能真正记住这些“器官”长得什么样。