最新版本的ModSecurity增加了ssdeep检测webshell的接口，于是猛地回忆起搞客户端安全(游戏安全)的时候买过一本书《恶意软件分析诀窍与工具箱-对抗“流氓”软件的技术与利器》，这本书就提到了使用ssdeep来查找恶意软件(webshell是恶意软件的一种，安全领域是互通的嘛)，本文介绍如何使用它来检测webshell。一 、安装ssdeep下载ssdeep并安装 http://ss
转载
精选
2014-12-17 17:57:14
1163阅读
# 使用ssdeep库进行相似性数据比较
## 引言
在数据分析、网络安全和文件完整性检查等领域，经常需要对数据或文件进行相似性比较。ssdeep（也被称为 fuzzy hashing）是一个非常有用的工具，可以生成一个hash值来表示数据的某种特征，再通过比较这些值来判断文件的相似性。本文将介绍如何使用Python中的ssdeep库来解决具体问题，并提供相关代码示例。
## 安装ssdee
原创
2024-10-31 09:39:27
311阅读
# 使用 ssdeep 的 Python 简明指南
## 一、引言
ssdeep（或 fuzzy hashing）是一种用于识别相似文件的技术，通过计算文件的指纹，帮助发现相似性。这个小白教程将指导你如何在 Python 中使用 ssdeep，包括安装所需库、编写代码以及处理输出。
## 二、流程概述
为了使用 ssdeep 进行相似性哈希，我们承诺以下几个步骤：
| 步骤 | 描述
文章目录前言一、导入的库二、使用1.创建数组2.ndarray属性3.ndarray的类型4.生成数组生成0，1数组从现有数组生成 array（深拷贝）和asarray（浅拷贝）生成固定范围内的数组生成随机数组正态分布创建 输入值：均值 标准差 生成的数据数量例子5.数组索引6.形状,行列,类型修改reshape/resize/T/normal形状修改行列修改类型修改astype/tostrin
转载
2023-09-26 12:45:09
98阅读
[目录]
0x00 前言0x01 Webshell检测模型0x02 静态特征检测0x03 动态特征检测0x04 结语
0x00 前言
什么是webshell？我相信如果看官能有兴趣看这篇文章，一定对webshell有个了解。不过不了解也没关系，那就请先搜索下相关资料[1]。当然，本着
转载
2012-03-28 18:03:30
1337阅读
一 什么是webshell“web”的含义是显然需要服务器开放web服务，“shell”的含义是取得对服务器某种程度上操作权限。webshell常常被称为匿名用户（入侵者）通过网站端口对网站服务器的某种程度上操作的权限。简单理解：webshell就是一个web的页面，但是它的功能非常强大可以获得一些管理员不希望你获得的权限，比如执行系统命令、删除web页面、修改主页等。webshell
推荐
原创
2016-01-10 16:58:57
2652阅读
点赞
1评论
## 实现"python ssdeep"的流程
下面是实现"python ssdeep"的流程图：
```mermaid
flowchart TD
A[安装ssdeep库] --> B[导入ssdeep库]
B --> C[读取文件内容]
C --> D[计算文件的ssdeep hash值]
D --> E[比较两个文件的ssdeep hash值]
```
#
原创
2023-11-04 03:56:48
163阅读
蓝队的自我修养之如何从流量中检测 WebShell
ThreatBook微步在线 2021-04-15 17:04:55 48659HW期间，为防范钓鱼，即日起FreeBuf将取消投稿文章的一切外部链接。给您带来的不便，敬请谅解~背景众所周知，攻防演练过程中，攻击队入侵企业网站时，通常要通过各种方式获取 webshell，从而获得企业网站的控制权，然后方便实施之后的
原创
2023-07-04 16:39:43
141阅读
背景
WebShell绕过挑战赛，第一次参加这种比赛，因此对成功绕过的样本做了一些总结。
基本思路
在上传了一些样本做测试后，发现引擎(指伏魔Webshell检测引擎)对函数和函数的参数具有一定的敏感性。例如，array_map函数，它的第一个参数是传入一个回调函数，第二个参数是传入一个数组，作为回调函数的参数，测试时出现了以下四种情况。(black指被引擎发现，white指绕过引擎)array_
原创
2023-09-14 08:32:06
186阅读
本文档将介绍：如何通过Linux审计系统auditd监测WebShell执行系统命令的行为。测试环境：CentOS7.0_x64auditd简介Linux审计系统提供了一种跟踪系统上与安全相关的信息的方法。基于预先配置的规则，审核生成日志条目以记录尽可能多的关于系统上发生的事件信息。auditd（或auditd守护进程）是Linux系统中重要的内核审计组件，其负责将审计记录写入磁盘。使用audit
转载
2023-06-01 13:50:00
0阅读
基于PHP的应用面临着各种各样的攻击：XSS：对PHP的Web应用而言，跨站脚本是一个易受攻击的点。攻击者可以利用它盗取用户信息。你可以配置Apache，或是写更安全的PHP代码（验证所有用户输入）来防范XSS攻击SQL注入：这是PHP应用中，数据库层的易受攻击点。防范方式同上。
原创
2021-09-29 11:32:52
10000+阅读
webshell是一种可以在web服务器上执行后台脚本或者命令的后门，通过入侵网站上传webshell后获得服务器的执行操作权限，比如执行系统命令、窃取用户数据、删除web页面、修改主页等，其危害不言而喻。而WebShell扫描检测工具可辅助查出该后门。WebShell扫描工具适用网上下载的源码特定文件检测是否是检测目标程序或文件是否存在后门免杀检测识别率测试D盾 防火墙阿D出品
原创
2023-07-28 08:27:47
370阅读
概述语法语义检测本质上属于静态代码分析，鉴于篇幅原因，我们分三讲来进行该部分：•第一讲从理论角度，论述基于语法语义的静态分析如何应用在webshell检测上，给出一个通用的检测框架。•第二讲从实践角度，讲述RIPS在基于给出的理论框架下的具体实现，实现从理论到实践的落地过程。•第三讲从代码角度，分析RIPS的架构设计和核心代码部分，从源码入手，深入分析其核心检测原理。web应用安全漏洞的本质一个w
原创
2021-05-05 08:59:56
901阅读
RIPS的核心分析器是用php语言写的，检测结果保存为HTML文件，并用javascript写的窗口管理器来展示检测结果。RIPS不需要第三方依赖，只需要一个web服务器和浏览器即可，将检测代码部署到服务器上，通过web页面来控制检测参数。但RIPS并不支持上传文件到远程服务器，只支持本地检测，这是个小小的遗憾。下图是RIPS的检测主页面1 配置RIPS共定义了如下各配置项：1.1 文件扩展名RI
原创
2021-05-05 08:59:40
1006阅读
概论该篇文章讲述了NeoPI如何利用统计学特征来检测webshell，笔者认为NeoPI选择的这些统计学方法在webshell检测上有些鸡肋，没有太大的实用效果。反而其中的各种统计学方法值得学习一下，因此文章会重点讲解这些统计学特征的原理，以求可以举一反三，并应用在其他领域。统计学特征NeoPi使用以下五种统计学特征检测方法，下面分别来分析各种方法的原理和代码实现（代码部分只选择了核心代码并附加了
原创
2021-05-05 09:01:00
1219阅读
# 使用 Python3 计算 SSDEEP 值
在数字取证和文件相似性检测的领域中，SSDEEP（又称为“拼接哈希”）是一种广泛使用的工具。它能有效比较文件的相似性，而不仅仅是它们的完全匹配。这种技术对于监测文件篡改、恶意软件分析等场景极为重要。
## 什么是 SSDEEP？
SSDEEP 是一种生成文件摘要的哈希算法，目标是为不同文件生成相似度哈希值。它的运作方式与传统的哈希（比如 MD
原创
2024-10-21 03:24:55
153阅读
Webshell通信异常的机器学习检测初探
原创
2022-12-20 19:38:19
43阅读
开篇又到了周末，大好时间不能浪费，翻看之前下载的论文，发现有一篇讲述的webshell检测。通读一遍后发现作者的检测思路很新颖，但是看到后边也有些地方看的云里雾里，特写篇文章整理一下作者的思路和我的疑问，作为webshell检测这个系列的补充。本来想着把这些疑问想通之后再把文章发布出来，但在这些问题的泥潭里挣扎一段时间后我发现，我应该是永远想不明白了，因为其中的核心逻辑作者写的实在是太模糊了。其实
原创
2021-05-05 08:59:13
1074阅读
当网站服务器被入侵时，我们需要一款Webshell检测工具，来帮助我们发现webshell，进一步排查系统可能存在的安全漏洞。本文推荐了10款Webshll检测工具，用于网站入侵排查。当然，目前市场上的很多主机安全产品也都提供这种WebShell检测能力，比如阿里云、青藤云、safedog等，本文暂不讨论。1、D盾_Web查杀阿D出品，使用自行研发不分扩展名的代码分析引擎，能分析更为隐藏的WebS
原创
2023-05-22 12:25:53
669阅读
顾名思义，“web”的含义是显然需要服务器开放web服务，“shell”的含义是取得对服务器某
原创
2022-11-25 17:41:41
300阅读
