干货| 如何全面防御Webshell?
发布网友
发布时间：2024-10-20 15:49
我来回答
共1个回答
热心网友
时间：2024-11-09 14:04
在调查受攻击的服务器时，首要任务是发现黑客的入口点。当运维团队将服务器恢复正常后，发现服务器已被webshell、rootkits和密码导出工具感染，这需要通过时间轴法对恶意软件留下的文件进行分析，找出第一个被安装的恶意样本。关键在于，黑客是如何将恶意文件上传至内部网络的。
成功调查需要收集大量信息，构建对系统、基础设施和业务流程的全面理解。以Tomcat为例，其安装后会在stdout.log中保存应用日志，其中包括大量堆栈跟踪活动记录。通过分析日志，发现了异常记录，揭示了有人试图将webshell上传至服务器。
进一步分析发现webshell通过命令参数执行系统命令并回显结果。通过查找web日志，发现有人试图查看当前系统的网络配置。深入搜索特定记录，揭示了黑客试图利用Struts 2漏洞上传webshell。通过时间轴法分析，明确了黑客的入侵路径。
针对webshell检测，介绍了几款工具：NeoPI、Shell Detector和LOKI。NeoPI通过统计学方法检测混淆内容，检出率较高，适用于复杂代码结构，但也存在误报和特征库不再更新的问题。Shell Detector提供图表展示，检出率不错，但误报问题严重，且特征库未更新。LOKI根据严重程度显示扫描结果，提供清晰日志，检出率高，依赖YARA规则，但仅支持特征扫描。
在检测webshell时，需注意一些挑战，如简单的“一句话”webshell难以检测，误报问题，以及针对复杂混淆技术的检测局限。对于先进混淆技术的webshell，如China Chopper和vero.txt，可能需要结合多种工具和分析方法。
保护服务器的关键在于全面防御策略，不仅关注日志分析，还需定期更新安全工具和防护措施，及时识别和应对新型威胁。
