PCShare流量检测报告
使用方法
1.在创建客户页面设置IP、端口，生成木马
2.在刷新IP页面设置监听IP和监听端口
3.等待受控靶机运行木马即可上线
检测方案
1.检测心跳包，此工具的心跳包包括TCP协议和HTTP协议，时间间隔为50秒
2.当远控工具产生交互行为时，上行流量会大于下行流量
上行数据包统计：
下行数据包统计：
3.PSH标志包和SYN标志包占比增加
PSH标志包总数为916，占100%
SYN标志包总数为916，占100%
4.数据交互时，会产生特征字段。
发送desktop.ini文件所在路径。desktop.ini文件常见于病毒木马在运行时创建的文件，即正常行为不会产生。
发送shell32.dll的文件路径
HTTP心跳包携带特征字段，特征字段为PO ST /年/月日/xxx xxx/xxxxxxx.jsp