webshell指纹-ssdeep 前言 最近一段时间的任务就是研究webshell的检测，感觉安全真是没有止境，尤其还是处于防御方，安全策略的制定 任重而道远。...第一节 ssdeep，what ? 首先说一下今天的主角ssdeep，这是一个基于模糊哈希（Fuzzy Hashing）算法的工具。要想弄明白这个工具的原理，不得不说一下模糊哈希算法。...在发现阶段，通过扫描黑客上传的文件，使用ssdeep进行相似度比对，即可快速发现入侵。 如果大家对ssdeep如何实现内容分片，可以去看ssdeep的实现源码。...C实现:https://github.com/ssdeep-project/ssdeep golang实现:https://github.com/glaslos/ssdeep python实现:https...第二节 ssdeep使用 由于最近一直在使用golang，所以就使用golang实现了webshell的指纹库，主要是调用 https://github.com/glaslos/ssdeep 制作样本库需要大量的
最新版本的ModSecurity增加了ssdeep检测webshell的接口，于是猛地回忆起搞客户端安全（游戏安全）的时候买过一本书《恶意软件分析诀窍与工具箱－对抗“流氓”软件的技术与利器》，这本书就提到了用...ssdeep来查找恶意软件（webshell是恶意软件的一种，安全领域是互通的嘛）。...一 、安装ssdeep 下载ssdeep并安装 http://ssdeep.sourceforge.net/ tar zxvf ssdeep-2.12.tar.gz cd ssdeep-2.12 ....首先获得webshell b374k.php的ssdeep hash（fuzzy hashing）值，并存储到b37_hashs.txt文件中 ssdeep -b webshell/b374k.php...修改完毕后，分别用md5与ssdeep来看发生了什么。
工具架构和执行流 依赖组件 pefile psutil ndjson python-tlsh PyInstaller（用来将client.py转换为client.exe） ssdeep ssdeep...安装 广大研究人员可以在Ubuntu系统上使用下列命令来安装和配置ssdeep： sudo apt-get install build-essential libffi-dev python3 python3...-dev python3-pip libfuzzy-dev pip install ssdeep 工具要求 Factual-rules-generator的正常运行要求主机操作系统中安装好一些依赖组件...https://github.com/CIRCL/factual-rules https://pyinstaller.readthedocs.io/en/stable/ https://python-ssdeep.readthedocs.io
97FA1F66BD2B2F8A34AAFE5A374996F8 威胁名称 Himera Loader Dropper 文件大小 95,4 KB (97.745 byte) 文件类型 Microsoft Word 文档 ssdeep...4620C79333CE19E62EFD2ADC5173B99A 威胁名称 二阶段 Dropper 文件大小 143 KB (146.944 byte) 文件类型 可执行文件 文件信息 Microsoft Visual C++ 8 ssdeep...4D2207059FE853399C8F2140E63C58E3 威胁名称 Dropper/Injector 文件大小 0,99 MB (1.047.040 byte) 文件类型 可执行文件 文件信息 Microsoft Visual C++ 8 ssdeep
借用开源GitHub - ssdeep-project/ssdeep: Fuzzy hashing API and fuzzy hashing tool，整体流程如下：#include <stdio.h...www.broadcom.com/products/cybersecurity/information-protection/data-loss-prevention#our-dlp-solutionsGitHub - ssdeep-project.../ssdeep: Fuzzy hashing API and fuzzy hashing tool
curl GeoIP-devel doxygen zlib-devel pcre pcre-devel libxml2 libxml2-devel autoconf automake lmdb-devel ssdeep-devel...ssdeep-libs lua-devel libmaxminddb-devel git apt-utils autoconf automake build-essential git libcurl4
SHA1： c660516ceb64fb9373b297973f962398ee6d1879 MD5： 77031bafa4c641c28ab9f624a15766b0 CRC32： 79C2B4D8 SSDEEP
SHA1： 8389fb0466449755c9c33716ef6f9c3e0f4e19c8 MD5： 304bbe0e401d84edf63b68588335ceb6 CRC32： 757BDFA1 SSDEEP
WAF相关 WAF防御能力评测及工具 ssdeep检测webshell ModSecurity相关文章（我就是ModSecurity的死忠粉） [科普文]ubuntu上安装Apache2+ModSecurity
271.00KBSHA2569dfd124ca235aa3d8434afbb0167581ff2f35ad0ab142ee5bdff0ff29b64d542SHA165daf6d722b71ff56ef0f01b4aa734e898ad45aeMD5b86bae39ddf878d71b0e66e4c5c261cfCRC32F4C3B4C7SSDEEP6144
pip install pefile $ sudo apt-get install yara $ sudo pip install yara-python $ sudo apt-get install ssdeep...$ sudo apt-get install build-essential libffi-dev python python-dev libfuzzy-dev $ sudo pip install ssdeep
8ef7b98e2fc129f59dd8f23d324df1f92277fcc16da362918655a1115c74ab95 威胁 Poulight Stealer 简要描述 Poulight Stealer ssdeep
还有一种方式是计算文件的ssdeep值，这个在我之前讲webshell检测时讲过这个，这个值可以通过相似度判断恶意文件的一些变形。 ?
Honey Pot Blacklist：蜜罐项目黑名单 GeoIP Country Blocking：根据判断IP地址归属地来进行IP阻断 安装 安装依赖 yum install -y yajl-devel ssdeep-devel
0f4755f65c495d3711bf22271f85f1ee86da8b7a487e770f769af56e189be48c 威胁 GoBrut 简要描述 GoBrut Linux 版本 3.06 ssdeep
上图： 例子 关系图上相似：微步这里研究过一会，分别会从 样本hash（大家都是）、样本内容相似度、SSDEEP、网络链接去进行关联。
zlib1g-dev swig mongodb postgresql libpq-dev libcap2-bin tcpdump apparmor-utils iptables-persistent ssdeep
分析过程 通过内外部数据整合而成的linux恶意文件库固然是服务管理员的福音，借助诸如MD5校验，Ssdeep相似度计算等，可以识别大量恶意文件，规避风险，但同时我们注意到两点： 1.
通过对比两个DLL文件的Ssdeep数据，我们会发现这两个库有一些重复的地方，而且它们两个之间存在高度相似的情况。
另外，针对良性网页还利用 ssdeep 判断网页相似度，使用网站前 1000 个不同页面进行训练。 基于搜索引擎提供的相关搜索功能，根据一组行业黑话扩展搜索潜在非法关键字列表，人工核验确认关键字。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
