玄机-webshell查杀

1.SSH工具连接主机

我使用的是findshell工具，下载链接如下：

FinalShell SSH工具,服务器管理,远程桌面加速软件,支持Windows,macOS,Linux,版本4.3.10,更新日期2023.12.31 - FinalShell官网 (hostbuf.com)http://www.hostbuf.com/t/988.html

使用网页上的账号和IP地址填入相关的位置，然后点击连接。

2.黑客webshell里面的flag

双击下载后查看，过程可能很久，基本上看着php文件都可以看下。此处可以看到备注下有flag格式

3.黑客使用工具的shell github地址的md5 

此处为哥斯拉，webshell常见的有菜刀，蚁剑，冰蝎，哥斯拉常见的webshell特征可以查看如下链接文章：Webshell流量分析之哥斯拉Godzilla&冰蝎Behinder - smileleooo - 博客园 (cnblogs.com)https://www.cnblogs.com/smileleooo/p/18178347符合哥斯拉的特征，所以GitHub上搜索一下哥斯拉，可以得到链接：GitHub - BeichenDream/哥斯拉： 哥斯拉https://github.com/BeichenDream/Godzilla

使用以下推荐网站进行md5加密：MD5加密,MD5在线加密,MD5校验,MD5加密算法-站长工具 (msxindl.com)http://www.msxindl.com/tools/md5.asp

4.黑客隐藏shell的完整路径的md5 

这里隐藏的文件是Linux命令行中ls无法发现的文件

非预期可以用findshell发现，所以复制详细路径进行md5加密

5.黑客免杀马完整路径

查看日志，可以查看执行命令的php文件，查看文件的源代码

使用cat命令来查看文件代码，确定是进行了特征化去除的代码，基本确定是该文件

6.其他解法

可以下载全部文件来用webshell查杀工具进行扫描，可以发现如下所示，下载可以在findshell中文件夹鼠标右击下载，这里推荐的webshell查杀工具：

10款常见的Webshell检测工具-腾讯云开发者社区-腾讯云 (tencent.com)https://cloud.tencent.com/developer/article/1612973