上兴远控流量分析报告
使用方法
1.在生成页面设置ip、端口，然后生成木马
2.设置监听端口
3.等待受控靶机运行木马即可上线
检测方案
1.检测心跳包，时间间隔为120秒（可变）
2.上行流量大于下行流量
上行数据包统计
下行数据包统计
3.统计PSH标志包和SYN标志包占比
数据包总数831，PSH标志包总数831，占比100%
数据包总数831，SYN标志包总数831，占比100%
4.建立连接时，会产生一个TCP包铭文传递信息
5.当被远控木马控制时，数据传递为明文
执行netstat -ano 时的数据包
返回的数据包