Webshell atrasta? Kā tagad pareizi rīkoties

Īsi: webshell ir neliels fails, ar kura palīdzību svešinieks var attālināti vadīt jūsu serveri. Kas to ir atradis, ļoti iespējams, ir skarts un tūlīt jāsazinās ar mums. Neizdzēst, neatvērt, vispirms saglabāt. Mēs attālināti noskaidrojam, kā tā nonāca serverī un vai ir citas piekļuves, un attīrām serveri.

Esat atraduši webshell: ko tas nozīmē?

Webshell ir PHP skripts (vai skripts citā servera valodā), kas pieņem komandas no ārpuses. Ar to uzbrucēji var nolasīt failus, lejupielādēt datus, ielādēt ļaunprātīgu kodu un aizsniegt citas sistēmas. Tāpēc fails reti ir uzbrukuma mērķis. Tās ir slēptās durvis, ko ielauzējs atstāj, lai atgrieztos.

Tam ir divas sekas. Pirmkārt: kādam jau bija rakstīšanas piekļuve jūsu serverim vai viņš varēja izpildīt kodu. Otrkārt: atrastais fails, iespējams, nav vienīgais. Turklāt bieži nav zināms, kopš kura laika tas tur atrodas un ko pa to laiku ar to darīts.

Kā atpazīt webshell

• PHP fails direktorijā, kurā tādam nevajadzētu būt, piemēram, augšupielādēs, kešatmiņā, attēlos vai pagaidu direktorijos
• faila nosaukumi, kas izskatās kā sistēmas faili, bet nepieder jūsu programmatūrai, vai nosaukumi ar dubultu paplašinājumu
• nesalasāms kods ar garām rakstzīmju virknēm, kodējumu un funkcijām komandu izpildei, skatiet Apmaskota PHP koda atpazīšana
• izmaiņu datums, kas neatbilst jūsu atjauninājumiem
• piekļuves šim failam žurnālos, bieži no svešām adresēm un ar POST pieprasījumiem
• tīmekļa servera procesi, kas startē shell, kā aprakstīts lapā Brīdinājuma zīme: tīmekļa serveris startē shell

Kā atradumu vietas pareizi izprast, ir lapā PHP faili augšupielāžu mapē un plaši lapā Webshell atpazīšana un noņemšana.

Ko darīt tūlīt

1. Neatvērt failu un neizpildīt. Nekādu testu pārlūkprogrammā.
2. Neizdzēst un nepārvietot. Nemainiet ne saturu, ne laika zīmogus.
3. Pierakstīt: pilns ceļš, faila nosaukums, atrašanas laiks, kas to atklāja un ar ko.
4. Saglabāt failu un metadatus: kopija ar īpašnieku, tiesībām un laika zīmogiem. Pietiek ar lasīšanas pārbaudes komandām, piemēram:

bash stat /pfad/zur/datei.php sha256sum /pfad/zur/datei.php

5. Saglabāt žurnālus: neļaut pārrakstīt tīmekļa servera un PHP piekļuves un kļūdu žurnālus. Speciālistu prese iesaka saglabāt servera žurnālus no 2026. gada 20. oktobra.
6. Vajadzības gadījumā norobežot serveri: ja pieļaujat, ka dati aizplūst, atvienojiet lapu no tīkla. Kā pie tam saglabāt pierādījumus, apraksta Pierādījumu saglabāšana pirms pārinstalēšanas.
7. Informēt mūs, pirms tiek mainītas paroles vai attīrīti faili.

Kā PHP SOS palīdz konkrēti?

1. Situācijas attēls: Kas tika atrasts, kur, kad un kas to atrada? Kuras sistēmas atrodas tajā pašā serverī?
2. Saglabāt un aizvērt: Mēs saglabājam atradumu, failus, datubāzi un žurnālus un bloķējam piekļuves, kas šķiet aizdomīgas.
3. Pārbaudīt un attīrīt: Mēs meklējam citas webshell, mainītus kodola failus, slēptus cron uzdevumus, svešus administratora kontus un nezināmas SSH atslēgas un noņemam tos. Rīcība atbilst pakalpojumam Ļaunprogrammatūras un webshell noņemšana.
4. Nostiprināt un ziņot: Mēs nosaucam iespējamo ielaušanās vietu, aizveram to un nodrošinām serveri. Jūs saņemat dokumentāciju ar atradumiem un laika joslu.

Kā webshell nonāca serverī?

Tipiski ceļi ir novecojuši spraudņi vai paplašinājumi, nedroša failu augšupielāde, nozagti piekļuves dati un ievainojamības servera programmatūrā. Kopš PHP2Shell publicēšanas pievienojas vēl viena iespēja: PHP bez labojumiem no 8.5.12, 8.4.27, 8.3.36 vai 8.2.35 var tikt ļaunprātīgi izmantots koda izpildei no attāluma. Apstiprinātu Indicators of Compromise par to nav, atpazīšana balstās uz uzvedību. Vai ielaušanās pie jums notika caur PHP2Shell vai citādi, var secināt tikai no pēdām, un mēs atzīmējam, kas ir apliecināts un kas ir pieņēmums. Kā tur palīdz žurnāli, parāda Tīmekļa servera žurnālu izvērtēšana.

Ielāps esošu webshell nenoņem. Arī aizsardzība pret turpmākiem atradumiem ir daļa no tā: PHP izpildes aizliegšana augšupielāžu mapēs novērš daudzus gadījumus. Ņemiet vērā arī ļaunprogrammatūras skeneru ierobežojumus: skenēšana bez atradumiem nav atbrīvošanas signāls.

Ja jums jāzina, kas tieši ir noticis, piemēram, apdrošinātājam vai iestādēm, noderīga var būt IT forensika.

Un ja webshell pēc izdzēšanas atgriežas?

Tas notiek bieži, un parasti ir divi iemesli. Vai nu ir vismaz vēl viena slēpta piekļuve, kas atradumu izveido no jauna, vai ielaušanās vārti joprojām ir atvērti un uzbrucējs vienkārši atgriežas. To neatrisina ar atkārtotu dzēšanu. Tāpēc mēs meklējam visu izmaiņu kopumu: jaunus un mainītus failus, ierakstus datubāzē un konfigurācijā, ieplānotos uzdevumus, kontus. Nesen mainīto failu saraksts ir saprātīgs sākums, bet speciālistu pārbaudi neaizstāj.

Ko jums vajadzētu mums nosūtīt

• faila ceļš un nosaukums, pēc iespējas kā kopija ar laika zīmogiem (nodošanas veidu saskaņosim)
• izvilkumi no piekļuves žurnāliem ap šo failu, ja jums ir piekļuve
• servera veids, hostinga sniedzējs, PHP versija un darbības režīms, ja zināms
• kādas vietnes un lietojumprogrammas darbojas serverī
• kad pēdējo reizi notika atjauninājumi, augšupielādes vai izmaiņas

Kāpēc PHP SOS

Mēs strādājam pēc principa Made in Germany un jau vairāk nekā 25 gadus kopā ar savu kiberspeciālistu partneru tīklu esam specializējušies IT drošībā. Viena kontaktpersona jūs vada cauri incidentam. Mēs strādājam attālināti bez ierašanās visā Vācijā un Eiropā, dokumentējam katru soli un nesniedzam solījumus, ko neviens nevar izpildīt. Mēs paliekam klāt, līdz incidents ir noslēgts un dokumentēts.

Vai esat skarti? Zvaniet. Mēs palīdzam.

Atrasta webshell ir brīdinājuma zīme, kas jāuztver nopietni. Sazinieties ar mums tagad, zvanot vai rakstot WhatsApp, un mēs uzņemamies darbu no pirmās ziņas. Pieteikt ārkārtas gadījumu tagad

Biežāk uzdotie jautājumi

Avoti

• BSI: Vācijas Federālais informācijas drošības birojs
• OWASP Cheat Sheets
• VDAR 33. pants: ziņošana uzraudzības iestādei