本文深入分析了哥斯拉（KingKong）WebShell管理工具的工作原理及其在网络中的流量特征，旨在帮助安全研究人员和从业者识别并防御此类威胁。
Kingkong是一款用于解密哥斯拉(Godzilla-V2.96) webshell管理工具流量的软件，目前仅支持jsp类型的webshell流量解密。
**Usage**
1. 获取攻击者上传到服务器的webshell样本。
2. 使用Wireshark等工具抓取网络数据包。通常甲方会使用科来等全流量镜像设备，请联系运维人员获取相关数据包，这里以test.pcapng为例。
3. 导出所有HTTP对象，并将它们保存在一个文件夹中。
4. 编辑kingkong.py脚本，在#config这一行配置webshell的密码和密钥以及存放导出http对象的路径。
具体步骤如下：
- 找到`#config`这行，配置获取到的样本password、key，以及刚才保存HTTP对象文件夹的位置。
```python
py -2 kingkong.py
# 配置webshell的key
key = 3c6e0b8a9c15224a
# 配置webshell的password
password = pass
# 配置wireshark导出http对象的路径
filepath = .
```
注意，如果使用的是jsp+b类型的webshell，则需要进行相应的配置。
5星
