# Намерен уеб шел? Как да действате правилно сега

> Намерихте уеб шел или подозрителен PHP файл? Не го трийте, първо запазете. Изясняваме обхвата и входа. Обадете се или пишете по WhatsApp.

Източник: https://phpsos.de/bg/soforthilfe/webshell-gefunden/  
Актуалност: 25.10.2026  
Доставчик: PHP SOS, Спешна помощ за PHP и сигурност на сървъри. Незабавна помощ по WhatsApp: https://wa.me/491736494914?text=%D0%97%D0%B4%D1%80%D0%B0%D0%B2%D0%B5%D0%B9%D1%82%D0%B5%2C%20PHP%20SOS%2C%20%D0%B8%D0%BC%D0%B0%D0%BC%D0%B5%20%D0%BD%D1%83%D0%B6%D0%B4%D0%B0%20%D0%BE%D1%82%20%D0%BF%D0%BE%D0%BC%D0%BE%D1%89%20%D1%81%20%D0%BD%D0%B0%D1%88%D0%B8%D1%8F%20PHP%20%D1%81%D1%8A%D1%80%D0%B2%D1%8A%D1%80.%20%D0%A4%D0%B8%D1%80%D0%BC%D0%B0%3A%20%E2%80%A6%20%D0%A3%D0%B5%D0%B1%D1%81%D0%B0%D0%B9%D1%82%3A%20%E2%80%A6

**Накратко:** Уеб шелът е малък файл, чрез който чужд човек може да управлява сървъра Ви от разстояние. Който е намерил такъв, най-вероятно е засегнат и трябва веднага да се свърже с нас. Не го трийте, не го отваряйте, първо го запазете. Изясняваме отдалечено как е попаднал на сървъра, има ли още достъпи, и почистваме сървъра.

> **Действайте веднага:**
> **Сега не трийте нищо и не инсталирайте наново.** И самият уеб шел засега остава на мястото си, за да може да бъде запазен. Засегнати ли сте? Обадете се или пишете по WhatsApp, или съобщете за находката чрез [Съобщете за спешен случай](https://phpsos.de/bg/notfall/).

## Намерили сте уеб шел: какво означава това?

Уеб шелът е PHP скрипт (или скрипт на друг сървърен език), който приема команди отвън. С него атакуващите могат да четат файлове, да изтеглят данни, да зареждат зловреден код и да достигат други системи. Затова файлът рядко е целта на атаката. Той е задната вратичка, която един нахлул оставя, за да се върне.

Това има две последици. Първо: някой вече е имал достъп за писане до Вашия сървър или е могъл да изпълнява код. Второ: намереният файл вероятно не е единственият. Към това идва онова, което често не се знае: от кога е там и какво е било правено с него междувременно?

## По какво познавате уеб шел

- PHP файл в папка, в която не бива да има такива, например за качване, кеш, изображения или временни директории
- имена на файлове, които изглеждат като системни, но не принадлежат към Вашия софтуер, или имена с двойно разширение
- нечетим код с дълги низове, кодиране и функции за изпълнение на команди, вижте [Разпознаване на замаскиран PHP код](https://phpsos.de/bg/blog/verschleierter-php-code/)
- дата на промяна, която не съвпада с Вашите актуализации
- достъпи до този файл в логовете, често от чужди адреси и със заявки POST
- процеси на уеб сървъра, които стартират шел, както е описано в [Предупредителен сигнал: уеб сървърът стартира шел](https://phpsos.de/bg/blog/webserver-startet-shell/)

Как да тълкувате правилно находките, е описано в [PHP файлове в папката за качване](https://phpsos.de/bg/blog/php-dateien-im-upload-ordner/) и подробно в [Разпознаване и премахване на уеб шелове](https://phpsos.de/bg/ratgeber/webshell-erkennen/).

## Какво да направите веднага

1. **Не отваряйте файла и не го изпълнявайте.** Без тестове в браузъра.
2. **Не го трийте и не го премествайте.** Не променяйте нито съдържанието, нито времевите отпечатъци.
3. **Запишете:** пълния път, името на файла, момента на откриване, кой го е открил и с какво.
4. **Запазете файла и метаданните:** Копие със собственик, права и времеви отпечатъци. Достатъчни са команди за четене, например:

   ```bash
   stat /pfad/zur/datei.php
   sha256sum /pfad/zur/datei.php
   ```

5. **Запазете логовете:** Не позволявайте протоколите за достъп и грешки на уеб сървъра и на PHP да бъдат презаписани. Специализираната преса съветва сървърните логове от 20.10.2026 г. нататък да се пазят.
6. **Изолирайте сървъра, ако е нужно:** Ако подозирате, че изтичат данни, изключете сайта от мрежата. Как да запазите доказателствата при това, описва [Запазете доказателствата, преди да инсталирате наново](https://phpsos.de/bg/blog/beweise-sichern-vor-neuinstallation/).
7. **Информирайте ни,** преди да се сменят пароли или файловете да се почистват.

## Как конкретно помага PHP SOS?

1. **Преглед на положението:** Какво е намерено, къде, кога и от кого? Какви системи има на същия сървър?
2. **Запазване и затваряне:** Запазваме находката, файловете, базата данни и логовете и блокираме достъпи, които изглеждат подозрителни.
3. **Проверка и почистване:** Търсим други уеб шелове, променени основни файлове, [скрити cron задачи](https://phpsos.de/bg/blog/cronjobs-als-hintertuer/), чужди администраторски акаунти и [непознати SSH ключове](https://phpsos.de/bg/blog/ssh-schluessel-pruefen/) и ги премахваме. Начинът на работа отговаря на услугата [Премахване на зловреден софтуер и уеб шелове](https://phpsos.de/bg/leistungen/malware-entfernung/).
4. **Заздравяване и отчет:** Посочваме вероятния вход, затваряме го и защитаваме сървъра. Получавате документация с находки и времева линия.

## Как уеб шелът е попаднал на сървъра?

Типични пътища са остарели плъгини или разширения, несигурни качвания на файлове, откраднати данни за достъп и уязвимости в софтуера на сървъра. Откакто е публикуван PHP2Shell, се добавя още една възможност: PHP без корекциите от 8.5.12, 8.4.27, 8.3.36 или 8.2.35 може отдалечено да бъде употребен за изпълнение на код. За това няма потвърдени Indicators of Compromise, откриването се основава на поведение. Дали входът при Вас е бил през PHP2Shell, или по друг път, може да се изведе само от следите, а ние отбелязваме кое е доказано и кое е предположение. Как логовете помагат при това, показва [Анализ на логовете на уеб сървъра](https://phpsos.de/bg/ratgeber/logfiles-auswerten/).

Пачът не премахва вече наличен уеб шел. Към това спада и защитата срещу бъдещи находки: [Забрана за изпълнение на PHP в папките за качване](https://phpsos.de/bg/blog/php-in-uploads-verbieten/) предотвратява много случаи. Имайте предвид и [границите на скенерите за зловреден софтуер](https://phpsos.de/bg/blog/grenzen-von-malware-scannern/): сканиране без находка не е сигнал за отбой.

Ако трябва да знаете точно какво се е случило, например за застрахователя или органите, може да е разумна [ИТ форензика](https://phpsos.de/bg/leistungen/it-forensik/).

## А ако уеб шелът се върне след изтриването?

Това се случва често и обикновено има две причини. Или има поне още една задна вратичка, която създава наново находката, или входната врата остава отворена и атакуващият просто идва отново. Нито едното не се решава с многократно изтриване. Затова търсим цялостта на промените: нови и променени файлове, записи в базата данни и конфигурацията, планирани задачи, акаунти. [Списък на наскоро променените файлове](https://phpsos.de/bg/blog/geaenderte-dateien-finden/) е разумно начало, но не заменя проверката от специалисти.

## Какво да ни изпратите

- път и име на файла, по възможност като копие с времеви отпечатъци (начина на предаване уточняваме)
- откъси от логовете за достъп около този файл, ако имате достъп
- вид на сървъра, хостинг доставчик, версия на PHP и режим на работа, ако са известни
- какви уебсайтове и приложения работят на сървъра
- кога последно са имали място актуализации, качвания или промени

## Защо PHP SOS

Работим Made in Germany и от над 25 години със своята партньорска мрежа от кибер специалисти сме специализирани в ИТ сигурността. Един партньор за контакт Ви води през инцидента. Работим отдалечено без пътуване в цяла Германия и Европа, документираме всяка стъпка и не даваме обещания, които никой не може да изпълни. Оставаме до приключването и документирането на инцидента.

## Засегнати ли сте? Обадете се. Помагаме Ви.

Намереният уеб шел е предупредителен знак, който трябва да приемете сериозно. Свържете се с нас сега, по телефон или WhatsApp, и поемаме от първото съобщение. [Съобщете за спешен случай сега](https://phpsos.de/bg/notfall/)


## Често задавани въпроси

**Намерих уеб шел. Мога ли просто да изтрия файла?**  
Моля, не първо това. Файлът показва кога и с какво е дошъл атакуващият. Първо го запазете заедно с времевите отпечатъци и собственика, после той се премахва целенасочено. Който само изтрива, обикновено оставя след себе си още достъпи.

**Да отворя ли подозрителния файл в браузъра, за да видя какво прави?**  
Не. Отварянето може да изпълни зловредния код и да заличи още следи. Проверявайте файла само за четене и най-добре върху копие.

**Достатъчен ли е скенер за зловреден софтуер, за да се намерят всички уеб шелове?**  
Не надеждно. Скенерите разпознават познати модели, но замаскирани или наново изградени уеб шелове им убягват. Чисто сканиране не доказва, че вече няма нищо.

**Откъде да знам от колко време уеб шелът е на сървъра?**  
Указания дават датата на промяна, логовете за достъп и грешки, както и сравнения с други нови файлове. Времевите отпечатъци обаче могат да се фалшифицират. Затова оценяваме няколко източника и отбелязваме кое е доказано и кое е предположение.

**Трябва ли да съобщя за находката?**  
Щом е възможно да са засегнати лични данни, може да се наложи уведомяване на надзорния орган. По въпроса съветват длъжностните лица по защита на данните или адвокати; ние предоставяме техническите факти.

## Източници

- [BSI: Федерална служба за информационна сигурност на Германия](https://www.bsi.bund.de/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)
- [ОРЗД чл. 33: Уведомяване на надзорния орган](https://dsgvo-gesetz.de/art-33-dsgvo/)