Go achomair: Aithníonn tú webshell ar chomhaid PHP nua nó athraithe in áiteanna neamhghnácha, ar phróisis choimhthíocha d'úsáideoir an fhreastalaí gréasáin agus ar naisc neamhghnácha. Sábháil rianta sula scriosann tú aon rud agus athchóirigh an cód ó fhoinse ghlan. Ní bhaineann paiste amháin cúldoras.
Cén fáth a bhfuil webshells ina n-ábhar tar éis PHP2Shell
Ceadaíonn na leochaileachtaí CVE-2026-109618 agus CVE-2026-109619 i PHP féin cód mailíseach a rith go cianda gan logáil isteach. Sprioc nádúrtha tar éis ionsaithe rathúil is ea cúldoras buan, is é sin webshell. Fanann sí fiú nuair a bhíonn PHP nuashonraithe idir an dá linn.
De réir tuairiscí meán, breathnaíodh an chéad iarracht ionsaithe cheana an 17.10.2026, agus lean na paistí an 21.10. An té a bhí leochaileach sa tréimhse sin, ba cheart dó féachaint go sonrach. Níl Indicators of Compromise deimhnithe foilsithe go fóill. Bunaítear an cuardach dá bhrí sin ar neamhghnáthaíochtaí iompair, ní ar liosta réamhdhéanta.
Má aimsíonn tú webshell ar fhreastalaí le sonraí cliant: ná scrios rud ar bith go gasta. Sábháil fianaise ar dtús, ansin scar an freastalaí agus pleanáil an chuid eile den láimhseáil.
Conas webshell a aithint: comhaid a sheiceáil
Is comhaid PHP sa chomhadlann ghréasáin formhór na webshells. Is suntasach comhaid a cruthaíodh nó a athraíodh tar éis an 17.10., comhaid PHP i bhfillteáin uaslódála agus taisce, agus comhaid le cód doiléirithe. Ní athraíonn na horduithe seo a leanas rud ar bith, ní liostaíonn siad ach:
# Comhaid PHP a athraíodh ón 17.10.2026
find /var/www -type f -name "*.php*" -newermt "2026-10-17" -ls
# Comhaid PHP i bhfillteáin uaslódála, taisce nó tmp
find /var/www -type f -name "*.php*" \( -path "*upload*" -o -path "*cache*" -o -path "*tmp*" \) -ls
# Doiléiriú tipiciúil: eval i gcomhcheangal le díchódú
grep -rlE "eval\s*\(\s*(base64_decode|gzinflate|str_rot13|gzuncompress)" /var/www --include="*.php"
# Is minic a léiríonn línte an-fhada cód pacáilte
grep -rlE ".{3000,}" /var/www --include="*.php"
Is leideanna iad na torthaí, ní fianaise. Úsáideann roinnt breiseán cód ionchódaithe go dlisteanach. Cuir comhaid amhrasacha i gcomparáid le pacáiste bunaidh an mhonaróra. Is iontaofa an comparáid le seicsumaí nó le córas rialaithe leaganacha mar Git:
# Difríochtaí ón staid aitheanta dheireanach sa stór Git
git -C /var/www/projekt status --porcelain
Is féidir stampa ama a fhalsú. Ná bí ag brath ar dháta athraithe comhaid amháin dá bhrí sin.
Cé na saintréithe a fhágann go bhfuil comhad amhrasach
| Saintréith | Cén fáth a mbíonn sé suntasach |
|---|---|
| Comhad PHP i bhfillteán uaslódála nó íomhánna | Níor cheart ach meáin a bheith ansin |
Iarmhír dhúbailte ar nós .jpg.php nó .php.png |
Ceilt mar chomhad neamhdhíobhálach |
| Línte an-fhada gan briseadh | Tipiciúil do chód pacáilte nó criptithe |
| Ainm comhaid cosúil le croíchomhad, ach nach bhfuil sa phacáiste bunaidh | Ceilt i dtimpeallacht aitheanta |
| Úinéir nó cearta difriúil ó chomhaid chomharsanacha | Cruthaíodh an comhad ar bhealach eile |
Dá mhéad saintréithe a thagann le chéile, is airde an dóchúlacht go bhfuil aimsiú ann. Ná hoscail comhaid amhrasacha ach mar théacs, ná déan é riamh tríd an mbrabhsálaí, mar go rithfeadh glaoch tríd an suíomh gréasáin an cód.
Próisis, naisc agus cronjobs a sheiceáil
Is minic a fhágann webshell ghníomhach rianta lasmuigh den chóras comhad. De ghnáth ní thosaíonn úsáideoir an fhreastalaí gréasáin, mar shampla www-data, apache nó nginx, blaiseanna, uirlisí líonra ná tiomsaitheoirí.
# Próisis na n-úsáideoirí tipiciúla freastalaí gréasáin
ps -eo user,pid,ppid,lstart,cmd | grep -E "^(www-data|apache|nginx)"
# Naisc líonra oscailte leis an bpróiseas ábhartha
sudo ss -tunap | grep -E "php|www-data|apache|nginx"
# Tascanna sceidealaithe d'úsáideoir an fhreastalaí gréasáin
sudo crontab -u www-data -l
ls -la /etc/cron.d /var/spool/cron 2>/dev/null
Is suntasach naisc bhuana amach chuig cinn scríbe anaithnide, próisis le hainmneacha doiléire agus cronjobs a íoslódálann comhaid ón idirlíon. Seiceáil freisin na logaí rochtana le haghaidh iarratas ar chomhaid nach raibh ann roimhe seo. Conas é sin a dhéanamh, déanann an treoir Logaí an fhreastalaí gréasáin a anailísiú tar éis ionsaithe cur síos air.
Rianta a shábháil sula mbaineann tú aon rud
An té a scriosann ar dtús, cailleann sé an freagra ar na ceisteanna is tábhachtaí: Conas a tháinig an t-ionsaitheoir isteach, cad a chonaic sé, cé na sonraí a ndearnadh difear dóibh? Teastaíonn na freagraí sin uait do thuairisc GDPR féideartha, d'árachóirí agus don chinneadh an bhfuil córais eile i mbaol.
Seicheamh ciallmhar:
- An staid a dhoiciméadú: liosta próiseas, naisc líonra, úsáideoirí logáilte isteach.
- Comhaid agus logaí amhrasacha a chóipeáil le seicsum, gan iad a oscailt ná a rith.
- Más féidir, íomhá den chóras nó snapshot den mheaisín fíorúil a chruthú.
- An freastalaí a thógáil den líonra nó an rochtain a theorannú go mór.
I gcás córas le sonraí íogaire nó le hurchoid dlí féideartha, ba cheart an sábháil a dhéanamh ar bhealach glan go fóiréinseach. Gheobhaidh tú cúlra faoi sin ag Fóiréineachas TF tar éis ionsaithe ar fhreastalaí gréasáin.
Webshells a bhaint go glan
Is annamh deireadh an scéil é comhad amháin a scriosadh. Cruthaíonn ionsaitheoirí roinnt rochtana go minic: comhaid bhreise in áiteanna folaithe, iontrálacha i gcomhaid chumraíochta ar nós .htaccess nó .user.ini, cuntais riarthóra nua san fheidhmchlár nó cronjobs. Leanann glanadh iontaofa na céimeanna seo:
- PHP a thabhairt chuig staid cheartaithe (8.5.12, 8.4.27, 8.3.36, 8.2.35 nó backport deimhnithe) agus gach próiseas PHP a atosú.
- Cód an fheidhmchláir a athshuiteáil ó fhoinse ghlan seachas comhaid aonair a dheisiú.
- Gan ach inneachar seiceáilte, mar uaslódálacha agus an bunachar sonraí, a ghlacadh isteach agus cuardach spriocdhírithe a dhéanamh ann ar chód a cuireadh isteach.
- Na dintiúir rochtana go léir a athrú: bunachar sonraí, SSH, FTP, cuntais riarthóra, eochracha API.
- Cearta scríofa an fhreastalaí gréasáin a theorannú don íosmhéid riachtanach agus rith PHP i bhfillteáin uaslódála a chosc.
Do WordPress tá folaigh tipiciúla ar leith ann, a bhfuil cur síos orthu sa treoir Cúldoirse a aimsiú i WordPress. Ina dhiaidh sin ba cheart an suíomh gréasáin a mhonatóiriú níos dlúithe ar feadh tamaill chun rochtain nua a thabhairt faoi deara go luath.
Conas a chabhraíonn PHP SOS go nithiúil?
- Sábhálaimid logaí, comhaid agus staid an chórais ar bhealach intrasáidte sula n-athraítear aon rud.
- Cuardaímid cúldoirse i gcomhaid, sa bhunachar sonraí, i gcronjobs agus sa chumraíocht agus rangaímid na torthaí.
- Athshuiteálaimid an feidhmchlár ó fhoinse ghlan, athraímid rochtana agus déanaimid an freastalaí a chruatú.
- Doiciméadaimid an teagmhas go dtí go gcríochnaítear é, mar bhonn do thuairiscí agus d'árachóirí.
Déanann an tseirbhís Malware agus webshells a bhaint cur síos ar chúrsa glanta.
Ceisteanna coitianta
Cad is webshell ann?
Is comhad a chuirtear isteach é webshell, PHP den chuid is mó, a ligeann d'ionsaitheoirí an freastalaí a rialú go cianda. Is minic a cheilíonn sé é féin mar chomhad neamhdhíobhálach le hainm neamhspéisiúil agus fanann sé gníomhach fiú tar éis nuashonraithe.
An bhfaigheann scanóir víreas gach webshell?
Ní fhaigheann. Aithníonn scanóirí patrúin aitheanta; sleamhnaíonn leaganacha nua nó an-doiléirithe tríd. Ina theannta sin níl aon Indicators of Compromise deimhnithe foilsithe do PHP2Shell, agus dá bhrí sin tá anailís iompair níos tábhachtaí ná liosta sínithe.
An leor an comhad a aimsíodh a scriosadh?
Ní leor go hiondúil. Cruthaíonn ionsaitheoirí roinnt rochtana go minic, mar shampla comhaid bhreise, cronjobs nó cuntais riarthóra nua. Gan anailís ar an gcúis agus gan na dintiúir rochtana go léir a athrú, is dócha go dtiocfaidh rochtain nua.
An gcaithfidh mé rud éigin a thuairisciú tar éis webshell a aimsiú?
Má d'fhéadfadh sonraí pearsanta a bheith i gceist, d'fhéadfadh dualgas tuairiscithe a bheith ann faoin GDPR, de ghnáth laistigh de 72 uair an chloig. Soiléirigh é sin le d'oifigeach cosanta sonraí nó le dlíodóir; ní comhairle dlí é seo.