先说结论（通过，只有一面）某安比较容易，问的也比较正常 1、webshell流量特征 菜刀：base64加密，php马有eval，(base64_decode ($_POST[z0]))，&z0=QGluaV9zZXQ 蚁剑：以_0x 开头的参数名，@ini_set("display_errors","0") 冰蝎： 1、大量的 content-type：application