根据GNU版别协议，WebScarab记载它检测到的会话内容(请求和应对)，运用者能够经过多种 *** 来查看记载。 WebScarab的规划意图是让运用者能够把握某种根据HTTP(S)程序的运作进程;也能够用它来调试程序中较难处理的bug，也能够协助安全专家发现潜在的程序缝隙。 嵌入的PE文件由定制加载器提取，然后解码并履行。 剖析标明，解码后的PE文件实际上是TrickBot横向移动模块shareDll的修正版别。 一般，TrickBot模块以动态链接库(DLL)的方式下载，并供给一组名为Start、Control和Release的导出标准集。 然后此DLL将被注入到一个TrickBot模块化结构内的子svcho .exe进程中。 可是，在没有此结构的情况下，BokBot分发的shareDll模块是一个PE文件。 [1][2]黑客接单 图4 Xhide无参数履行

域名前置由于运用了合法前置域名做钓饵，在运用HTTPS链接时，DNS恳求的也都是合法域名，而在HOST中恳求修正恳求指向为咱们C&C服务器，相当于恳求合法域名之后把流量转发到了中转web上。