哥斯拉反射自定义 AES 通信插件加密器,基于Data-Flow Break与动态回调伪装的webshell生成器-夜雨聆风

本文最后更新于2026-03-10，某些文章具有时效性，若有错误或已失效，请在下方留言或联系老夜。

哥斯拉反射自定义 AES 通信插件加密器,基于Data-Flow Break与动态回调伪装的webshell生成器

免责声明

由于传播、利用本公众号夜组安全所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号夜组安全及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉。谢谢！所有工具安全性自测！！！VX：NightCTI

朋友们现在只对常读和星标的公众号才展示大图推送，建议大家把夜组安全“设为星标”，否则可能就看不到了啦！

工具介绍

VeilShell，Godzilla_AES加密器+采用打断数据流（Data-Flow Break）与动态回调伪装的 WebShell|Qwen2-0.5B-Instruc-webshell微调小模型检测方法与对抗。

插件是基于哥斯拉底层反射的自定义AES通信加密器，phpwebshell则基于AES + gzdeflate+Data-Flow Break

本项目生成的荷载在Qwen2-0.5B-Instruct模型中经过30k webshell数据集训练微调后的小模型分析，并未命中。同时在长亭、阿里等webshell检测中也绕过。

免杀效果

注：该图展示的样本是二次过滤后的恶意样本，选了40+能过waf的phpwebshell进行测试。并不代表全量训练数据集，全量数据集采用了https://huggingface.co/datasets/nbuser32/PHP-Webshell-Dataset

Test metrics: {‘test_loss’: 0.08689013123512268, ‘test_accuracy’: 0.973571192599934, ‘test_f1’: 0.9750623441396509, ‘test_precision’: 0.993015873015873, ‘test_recall’: 0.9577464788732394, ‘test_runtime’: 71.2095, ‘test_samples_per_second’: 42.508, ‘test_steps_per_second’: 2.668, ‘epoch’: 1.0}