Webshell 检测综述

摘要：随着互联网的快速发展，Web应用已成为人们日常生活和工作中必不可少的一部分，随之而来的是大量针对Web服务的攻击，在目标服务器上植入Webshell已成为攻击者最常用的手段。通过Webshell，攻击者可以在目标服务器上执行一些命令从而完成信息嗅探、数据窃取或篡改等非法操作，对Web服务器造成巨大危害。最开始研究人员通过从Webshell中提取特征码的方式来检测Webshell，后来为了逃避检测，混淆和加密技术在Webshell中被广泛采用，这极大地增加了Webshell检测的难度，为此许多研究人员开始采用机器学习技术来进行Webshell的检测。从多个角度阐述了Webshell检测技术发展现状、所遇到的问题及今后的研究方向。

内容目录：

1　Webshell 简介

2　检测方案

3　结　语

随着Web技术的快速发展，Web功能的增强，越来越多的应用选择通过Web为用户提供服务。大量的Web应用在丰富和便利了人们的日常生活和工作的同时也暴露了大量的攻击面，导致大量Web服务器时常遭受攻击。攻击者在攻陷Web服务器后通常会在Web服务器上植入Webshell，并利用它来控制Web服务器。据微软公司的研究报告显示，从2020年8月到2021年1月，平均每月在服务器上遇到此类威胁的

次数为140 000次，几乎是上一年77 000次月均的两倍。Webshell可以为攻击者提供一种伪装成与合法流量混合的通信信道，利用该信道可以实现对失陷网络的持久访问。Webshell恶意软件是一种长期存在的普遍威胁，能够绕过很多安全工具的检测。

网络攻击者一般通过Web应用的自身漏洞或者与其相关的其他失陷主机进行Webshell的部署，Webshell可以作为一个持久性的后门，或者作为一个中继节点将