免杀对抗—Behinder魔改&流量特征去除

前言

在现实的攻防中，往往webshell要比主机后门要用得多，因为我们首先要突破的目标是网站嘛，而且waf也往往会更注重webshell的检测。webshell的免杀分为两个，一是静态查杀，二是流量查杀。静态查杀不用多说了，匹配特征码特征值，流量查杀则是根据你webshell的流量特征来判断是否是恶意的行为。

实验环境

JDK1.8，Behinder V4.1

项目构建

老样子先对jar包进行反编译，这里分享一个在线反编译的网站。

Java decompiler online / APK decompiler - Decompiler.com

idea新建一个项目，叫Behinder，jdk建议选择1.8的，因为Behinder是以jdk1.8环境为基础运行的，防止后续的打包出问题。

在Behinder目录下新建一个目录名为lib，把未反编译的jar包拖进去，同时把已经反编译好的jar包解呀到Behinder目录下面。

点击文件 -> 模块 -> 点击依赖 -> 点击加号。

点击加号之后选择JAR或者目录，接着选择我们lib目录下jar包。

记得勾选上。

再来到工件这里，点击左上角的加号。

选择来自具有依赖项的模块。