Εν συντομία: Ένα webshell είναι ένα μικρό αρχείο μέσω του οποίου ένας ξένος μπορεί να ελέγχει εξ αποστάσεως τον διακομιστή σας. Όποιος βρήκε ένα, πολύ πιθανόν επηρεάζεται και πρέπει να επικοινωνήσει αμέσως. Μη διαγράψετε, μην ανοίξετε, διασώστε πρώτα. Διευκρινίζουμε εξ αποστάσεως πώς έφτασε στον διακομιστή, αν υπάρχουν και άλλες προσβάσεις, και καθαρίζουμε τον διακομιστή.
Μη διαγράψετε τίποτα και μη στήσετε τίποτα από την αρχή. Ακόμη και το ίδιο το webshell μένει αρχικά στη θέση του, ώστε να διασωθεί. Επηρεάζεστε; Τηλεφωνήστε ή γράψτε μας στο WhatsApp ή δηλώστε το εύρημα μέσω της Δήλωσης περιστατικού.
Βρήκατε webshell: τι σημαίνει αυτό;
Ένα webshell είναι ένα σενάριο PHP (ή σενάριο σε άλλη γλώσσα διακομιστή) που δέχεται εντολές απ' έξω. Έτσι οι επιτιθέμενοι μπορούν να διαβάσουν αρχεία, να κατεβάσουν δεδομένα, να φορτώσουν κακόβουλο κώδικα και να φτάσουν σε άλλα συστήματα. Το αρχείο σπάνια είναι ο στόχος της επίθεσης. Είναι η πίσω πόρτα που αφήνει ένας εισβολέας, για να επιστρέψει.
Αυτό έχει δύο συνέπειες. Πρώτον: κάποιος είχε ήδη πρόσβαση εγγραφής στον διακομιστή σας ή μπορούσε να εκτελέσει κώδικα. Δεύτερον: το αρχείο που βρέθηκε πιθανότατα δεν είναι το μοναδικό. Προστίθεται ό,τι συχνά δεν γνωρίζεται: από πότε βρίσκεται εκεί και τι έγινε στο μεταξύ με αυτό;
Πώς αναγνωρίζετε ένα webshell
- ένα αρχείο PHP σε φάκελο όπου δεν θα έπρεπε να υπάρχει, για παράδειγμα uploads, cache, εικόνες ή προσωρινούς καταλόγους
- ονόματα αρχείων που μοιάζουν με αρχεία συστήματος αλλά δεν ανήκουν στο λογισμικό σας, ή ονόματα με διπλή κατάληξη
- δυσανάγνωστος κώδικας με μακριές συμβολοσειρές, κωδικοποίηση και συναρτήσεις εκτέλεσης εντολών, δείτε Αναγνώριση συγκεκαλυμμένου κώδικα PHP
- μια ημερομηνία τροποποίησης που δεν ταιριάζει με τις ενημερώσεις σας
- προσβάσεις σε αυτό το αρχείο στα logs, συχνά από ξένες διευθύνσεις και με αιτήματα POST
- διεργασίες του διακομιστή ιστού που ξεκινούν shell, όπως περιγράφεται στη σελίδα Προειδοποιητικό σημάδι: ο διακομιστής ιστού ξεκινά ένα shell
Πώς ερμηνεύετε σωστά τα ευρήματα, αναφέρεται στη σελίδα Αρχεία PHP στον φάκελο upload και αναλυτικά στη σελίδα Αναγνώριση και αφαίρεση webshells.
Τι κάνετε αμέσως τώρα
- Μην ανοίξετε και μην εκτελέσετε το αρχείο. Καμία δοκιμή στο πρόγραμμα περιήγησης.
- Μην το διαγράψετε και μην το μετακινήσετε. Μην αλλάξετε ούτε το περιεχόμενο ούτε τη χρονοσφραγίδα.
- Σημειώστε: πλήρη διαδρομή, όνομα αρχείου, χρονική στιγμή εύρεσης, ποιος το ανακάλυψε και με ποιο μέσο.
- Διασώστε το αρχείο και τα μεταδεδομένα: Ένα αντίγραφο με ιδιοκτήτη, δικαιώματα και χρονοσφραγίδες. Αρκούν εντολές ελέγχου με ανάγνωση, για παράδειγμα:
bash
stat /pfad/zur/datei.php
sha256sum /pfad/zur/datei.php
- Διατηρήστε τα logs: Μην αφήσετε να αντικατασταθούν τα αρχεία καταγραφής πρόσβασης και σφαλμάτων του διακομιστή ιστού και της PHP. Ο εξειδικευμένος Τύπος συνιστά τη διατήρηση των logs του διακομιστή από τις 20.10.2026.
- Απομονώστε τον διακομιστή, αν χρειάζεται: Αν υποψιάζεστε ότι διαρρέουν δεδομένα, θέστε τον ιστότοπο εκτός δικτύου. Πώς διατηρείτε τότε αποδείξεις, περιγράφει η σελίδα Διασώστε αποδείξεις προτού στήσετε από την αρχή.
- Ενημερώστε μας, προτού αλλάξουν κωδικοί ή καθαριστούν αρχεία.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Καταγραφή της κατάστασης: Τι βρέθηκε, πού, πότε και από ποιον; Ποια συστήματα βρίσκονται στον ίδιο διακομιστή;
- Διάσωση και κλείσιμο: Διασώζουμε το εύρημα, τα αρχεία, τη βάση δεδομένων και τα logs και αποκλείουμε προσβάσεις που φαίνονται ύποπτες.
- Έλεγχος και καθαρισμός: Αναζητούμε περαιτέρω webshells, τροποποιημένα βασικά αρχεία, κρυφά cronjobs, ξένους λογαριασμούς διαχειριστή και άγνωστα κλειδιά SSH και τα αφαιρούμε. Η διαδικασία αντιστοιχεί στην υπηρεσία Αφαίρεση malware και webshells.
- Σκλήρυνση και αναφορά: Κατονομάζουμε το πιθανό σημείο εισόδου, το κλείνουμε και θωρακίζουμε τον διακομιστή. Λαμβάνετε τεκμηρίωση με ευρήματα και χρονολόγιο.
Πώς έφτασε το webshell στον διακομιστή;
Τυπικοί τρόποι είναι παλιά πρόσθετα ή επεκτάσεις, μη ασφαλή uploads αρχείων, κλεμμένα στοιχεία πρόσβασης και ευπάθειες στο λογισμικό του διακομιστή. Από τη δημοσίευση του PHP2Shell προστίθεται μια ακόμη δυνατότητα: η PHP χωρίς τις διορθώσεις των 8.5.12, 8.4.27, 8.3.36 ή 8.2.35 μπορεί να καταχραστεί εξ αποστάσεως για την εκτέλεση κώδικα. Επιβεβαιωμένα Indicators of Compromise δεν υπάρχουν γι' αυτό, ο εντοπισμός βασίζεται στη συμπεριφορά. Το αν η είσοδος στην περίπτωσή σας έγινε μέσω PHP2Shell ή άλλης οδού, μπορεί να συναχθεί μόνο από τα ίχνη, και επισημαίνουμε τι είναι αποδεδειγμένο και τι εικασία. Πώς βοηθούν σε αυτό τα logs, δείχνει η σελίδα Ανάλυση των logs του διακομιστή ιστού.
Ένα patch δεν αφαιρεί κάποιο υπάρχον webshell. Και η προστασία έναντι μελλοντικών ευρημάτων ανήκει στο θέμα: η απαγόρευση εκτέλεσης PHP σε φακέλους upload αποτρέπει πολλές περιπτώσεις. Λάβετε επίσης υπόψη τα όρια των σαρωτών malware: μια σάρωση χωρίς εύρημα δεν είναι σήμα άρσης συναγερμού.
Αν χρειάζεται να γνωρίζετε τι ακριβώς συνέβη, για παράδειγμα για τον ασφαλιστή ή τις αρχές, μπορεί να έχει νόημα μια ψηφιακή εγκληματολογία (IT-Forensik).
Και αν το webshell επανεμφανιστεί μετά τη διαγραφή;
Αυτό συμβαίνει συχνά και έχει συνήθως δύο λόγους. Είτε υπάρχει τουλάχιστον μία ακόμη πίσω πόρτα που δημιουργεί ξανά το εύρημα, είτε η πύλη εισόδου παραμένει ανοιχτή και ο επιτιθέμενος απλώς επιστρέφει. Κανένα από τα δύο δεν λύνεται με επαναλαμβανόμενη διαγραφή. Γι' αυτό αναζητούμε το σύνολο των αλλαγών: νέα και τροποποιημένα αρχεία, εγγραφές στη βάση δεδομένων και στη διαμόρφωση, προγραμματισμένες εργασίες, λογαριασμούς. Μια λίστα των πρόσφατα τροποποιημένων αρχείων είναι εδώ μια χρήσιμη αρχή, δεν αντικαθιστά όμως τον έλεγχο από ειδικούς.
Τι να μας στείλετε
- Διαδρομή και όνομα του αρχείου, κατά προτίμηση ως αντίγραφο με χρονοσφραγίδες (τον τρόπο παράδοσης τον συμφωνούμε)
- Αποσπάσματα από τα logs πρόσβασης γύρω από αυτό το αρχείο, αν έχετε πρόσβαση
- Είδος διακομιστή, πάροχο φιλοξενίας, έκδοση PHP και τρόπο λειτουργίας, αν είναι γνωστά
- ποιοι ιστότοποι και εφαρμογές εκτελούνται στον διακομιστή
- πότε έγιναν τελευταία ενημερώσεις, uploads ή αλλαγές
Γιατί PHP SOS
Εργαζόμαστε Made in Germany και είμαστε εξειδικευμένοι στην ασφάλεια πληροφορικής εδώ και περισσότερα από 25 χρόνια, με το δίκτυο συνεργατών μας από επαγγελματίες κυβερνοασφάλειας. Ένας υπεύθυνος επικοινωνίας σας καθοδηγεί στο περιστατικό. Εργαζόμαστε εξ αποστάσεως, χωρίς μετακίνηση, σε όλη τη Γερμανία και την Ευρώπη, τεκμηριώνουμε κάθε βήμα και δεν δίνουμε υποσχέσεις που δεν μπορεί να τηρήσει κανείς. Μένουμε μέχρι το περιστατικό να κλείσει και να τεκμηριωθεί.
Επηρεάζεστε; Καλέστε μας. Σας βοηθάμε.
Ένα webshell που βρέθηκε είναι προειδοποιητικό σημάδι που πρέπει να πάρετε στα σοβαρά. Επικοινωνήστε τώρα, με κλήση ή WhatsApp, και αναλαμβάνουμε από το πρώτο μήνυμα. Δηλώστε τώρα το περιστατικό
Συχνές ερωτήσεις
Βρήκα ένα webshell. Μπορώ απλώς να διαγράψω το αρχείο;
Παρακαλούμε όχι ως πρώτο βήμα. Το αρχείο δείχνει πότε και με ποιο μέσο ήρθε ο επιτιθέμενος. Διασώστε το πρώτα μαζί με τις χρονοσφραγίδες και τον ιδιοκτήτη, και μετά αφαιρείται στοχευμένα. Όποιος απλώς διαγράφει, αφήνει συνήθως πίσω και άλλες προσβάσεις.
Να ανοίξω το ύποπτο αρχείο στο πρόγραμμα περιήγησης, για να δω τι κάνει;
Όχι. Μια κλήση μπορεί να εκτελέσει τον κακόβουλο κώδικα και να θολώσει περαιτέρω ίχνη. Ελέγξτε το αρχείο μόνο με ανάγνωση και κατά προτίμηση σε αντίγραφο.
Αρκεί ένας σαρωτής malware για να βρω όλα τα webshells;
Όχι με αξιοπιστία. Οι σαρωτές αναγνωρίζουν γνωστά μοτίβα, αλλά τα συγκαλυμμένα ή πρόσφατα κατασκευασμένα webshells τους διαφεύγουν. Μια καθαρή σάρωση δεν αποδεικνύει ότι δεν υπάρχει πια τίποτα.
Πώς ξέρω πόσο καιρό βρίσκεται το webshell στον διακομιστή;
Ενδείξεις δίνουν η ημερομηνία τροποποίησης, τα logs πρόσβασης και σφαλμάτων και οι συγκρίσεις με άλλα νέα αρχεία. Οι χρονοσφραγίδες όμως μπορούν να πλαστογραφηθούν. Γι' αυτό αξιολογούμε περισσότερες πηγές και επισημαίνουμε τι είναι αποδεδειγμένο και τι εικασία.
Πρέπει να δηλώσω το εύρημα;
Μόλις μπορεί να θίγονται δεδομένα προσωπικού χαρακτήρα, μπορεί να απαιτείται γνωστοποίηση στην εποπτική αρχή. Σχετικά συμβουλεύουν ο υπεύθυνος προστασίας δεδομένων ή δικηγόροι· εμείς παρέχουμε τα τεχνικά στοιχεία.