0x1、介绍
在web服务器上留下一个WEBSHELL后门是黑客最常见的留后门方法,传统意义上的系统后面,在各种云查杀的追缴下,基本上已经毫无出路(某些特殊工具除外),所以WEBSHELL最为一个最经济、方便、稳定的后门,已经是黑客的不二选择,站长们,你们的web上有后门吗?
0x2、查杀思路
WEBSHELL一般是脚本代码,ASP、ASPX、PHP、JSP、CGI、CFM等等,基本是都是解释执行,所以对脚本文件内容进行特征字符串匹配就能够进行很好的查杀,另外一些特殊解析漏洞所导致的后门(IIS服务器等解析漏洞),也应该一起查杀!
特征码定义思路:
1、文件操作
2、CMD操作
3、数据库操作
4、操作系统进程访问
5、网络操作、访问
6、代码二次执行
任何一个webshell,都离不开这几点,如果不能做到上面中的至少一点就不能称其为WEBSHELL,所以定义这些行为的特征码,就能够很好的进行WEBSHELL查杀。
0x3、定义特征码
定义特征码,地球人都知道,那肯定是正则表达式了! 各种语言都可以支持,很方便,各种平台下均可以使用。
0x4、开发
开发环境采用脚本语言,避免各种环境不兼容,不跨平台,不好用。最后使用html生成报告,一键搞定。
下面上两张我电脑的扫描报告:
存在代码二次执行特征码和匹配策略个数较多的脚本文件,基本上可以认定是WEBSHELL了。
非常不好意思,文章写到这里,才发现CSDN不能上传附件的,汗死!
各位站长有需要的查杀程序的给我留言!