【应急响应】webshell的排查与处置

❤️博客主页： iknow181
🔥系列专栏： 网络安全、 Python、JavaSE、JavaWeb、CCNP
🎉欢迎大家点赞👍收藏⭐评论✍

---

引言

Webshell 是攻击者入侵 Web 服务器后常用的远程控制工具，它通过一段恶意代码，允许攻击者在服务器上执行命令、操作文件，甚至进一步提升权限。Webshell 的存在意味着服务器已经被攻陷，是安全应急响应中的一个关键问题。在这篇文章中，我们将深入探讨如何识别、分析和处理 Webshell，并区分有文件落地和无文件落地的 Webshell 处置方法。

Webshell 的两种类型

1. 有文件落地的 Webshell：攻击者通过文件上传、文件包含漏洞等方式，将恶意代码文件（例如 .php, .jsp, .asp 等）上传到服务器。该文件允许攻击者通过浏览器远程执行命令，常见的 Webshell 工具有 China Chopper、C99 等。
2. 无文件落地的 Webshell：攻击者无需在服务器上上传文件，而是通过漏洞利用直接在内存中执行代码，如反序列化漏洞、内存注入等方式。这类 Webshell 难以通过常规的文件扫描工具发现，因为没有留下文件。

1. 如何识别 Webshell

在应急响应中，快速准确地识别 Webshell 是关键，以下几种方式可以帮助你找到潜在的 Webshell：

1.1 文件分析

• 文件扫描：利用安全工具扫描 Web 目录，寻找可疑的脚本文件。这些文件通常具备异常的文件名、最近修改时间与访问日志不匹配等特征。
• 可疑代码模式：Webshell 通常具备执行系统命令、文件管理等功能，包含系统调用函数，如 eval()，exec()，system()，passthru() 等。
• 隐藏文件：有时 Webshell 可能伪装成图片文件、配置文件等，注意检查文件扩展名是否与内容不符，例如 .jpg 实际是 PHP 代码。

1.2 日志分析

• Web 访问日志：分析 Web 服务器日志，寻找异常的 POST 请求或访问方式。例如，上传 Webshell 后，攻击者通常会通过 HTTP POST 请求传递命令。
• 异常用户活动：监控管理员账户的异常登录行为，排查是否有暴力破解、暴露凭据或盗用会话的情况。

1.3 内存与进程分析

• 进程监控：通过监控服务器上正在运行的进程，寻找异常的命令执行记录（如通过 Webshell 执行的命令）。
• 内存分析：如果是无文件落地的 Webshell，可以对服务器进行内存转储并分析，寻找异常的代码执行痕迹。

2. 如何处置 Webshell

2.1 有文件落地的 Webshell 处置

当攻击者上传了实际的 Webshell 文件后，应采取以下步骤进行处置：

• 隔离系统：立即将受感染的系统从网络中隔离，避免攻击者通过 Webshell 进一步控制服务器。
• 查找 Webshell 文件：利用安全扫描工具或手工查找方式，定位并确认 Webshell 文件的位置。

• • 通过文件名、修改时间查找：通过文件列表中异常文件名或最近修改时间来筛选出可疑文件。
  • 代码分析：对 Webshell 文件进行代码分析，确定其功能和危害程度。一般 Webshell 包含命令执行、文件管理、数据库操作等模块。

• 删除恶意文件：确认 Webshell 文件后，立即删除，并查找备份或缓存中是否存在此文件的副本。
• 修补漏洞：检查 Web 应用中允许攻击者上传或包含 Webshell 的漏洞（如文件上传漏洞、代码注入等），并立即修复。
• 审计日志：通过 Web 访问日志和系统日志，确认攻击者的活动轨迹，评估攻击范围及影响。

2.2 无文件落地的 Webshell 处置

无文件落地的 Webshell 依赖于漏洞利用，攻击者不需要上传实际文件，而是在内存中直接执行恶意代码。此类 Webshell 隐蔽性更强，处理也更具挑战性：

• 流量监控：通过网络流量监控，检查服务器的异常流量模式。攻击者使用 Webshell 通常会有持续的远程命令执行或反向连接流量。
• 漏洞修复：针对利用无文件落地 Webshell 的漏洞（如反序列化漏洞、内存注入等），尽快修复 Web 应用中的安全问题，阻止攻击者的后续利用。
• 内存取证：对服务器内存进行取证分析，找出当前正在运行的恶意代码。如果已经发现异常流量或行为，可以使用内存转储工具抓取内存快照，并进行进一步分析。
• 服务重启：在修复漏洞并确认安全后，建议重启受感染的服务或整个服务器，清除内存中的恶意代码。

3. 后续防护措施

发现并清理 Webshell 后，还需采取一系列措施来避免再次发生同样的攻击，并加强系统的整体安全性。

3.1 补丁管理

• 确保服务器、操作系统和 Web 应用的安全补丁已更新到最新版本，及时修补已知漏洞。

3.2 权限管理

• 限制文件上传功能：严格控制上传文件的权限，确保上传的文件不能被直接执行或访问。
• 目录权限控制：通过文件系统权限管理，限制 Web 应用程序对服务器文件系统的访问权限，降低攻击者利用 Webshell 操作文件的风险。

3.3 加强日志与监控

• 实时日志监控：通过设置实时日志监控系统，及时发现可疑活动，如异常登录、频繁 POST 请求、敏感文件被访问等。
• 入侵检测系统 (IDS/IPS)：部署入侵检测和防护系统，及时发现和阻止 Webshell 攻击行为。

3.4 定期安全扫描

• 通过自动化安全扫描工具定期检查 Web 应用中的漏洞，及时发现潜在风险，防患于未然。

结论

Webshell 是 Web 安全领域中极为常见且危险的攻击手段，及时有效地识别和处理 Webshell 对于防止攻击者进一步控制系统至关重要。在应急响应中，区分有文件落地和无文件落地的 Webshell 类型，并采取相应的处置措施，不仅能够快速恢复系统，还可以防止攻击者留下的后门对系统进行二次利用。通过加强系统的日常防护，定期进行漏洞扫描和权限审计，可以有效减少 Webshell 攻击的风险。