Fil-qosor: Webshell hija fajl żgħir li permezz tiegħu persuna barranija tista' tikkontrolla s-server tagħkom mill-bogħod. Min sab waħda huwa probabbli ħafna li huwa affettwat u għandu jikkuntattjana minnufih. Tħassruhx, taċċessawhx, l-ewwel isalvawh. Niċċaraw mill-bogħod kif waslet fuq is-server, jekk hemmx aċċessi oħra, u ninnaddfu s-server.
Issa tħassru xejn u terġgħux twaqqfu xejn mill-ġdid. Anke l-webshell innifsha tibqa' l-ewwel fejn hi, biex tkun tista' tiġi salvata. Intom affettwati? Ċemplu jew iktbu fuq WhatsApp, jew irrapportaw is-sejba permezz ta' Irrapportaw emerġenza.
Sibtu webshell: x'ifisser dan?
Webshell hija script tal-PHP (jew script f'lingwa oħra tas-server) li taċċetta kmandi minn barra. B'hekk l-attakkanti jistgħu jaqraw fajls, jniżżlu data, jgħabbu kodiċi malizzjuż u jilħqu sistemi oħra. Il-fajl għalhekk rarament huwa l-mira tal-attakk. Huwa l-bieb ta' wara li l-ħalliel iħalli biex jerġa' jiġi.
Dan għandu żewġ konsegwenzi. L-ewwel: xi ħadd kellu diġà aċċess ta' kitba għas-server tagħkom jew seta' jeżegwixxi kodiċi. It-tieni: il-fajl misjub probabbilment mhuwiex l-uniku wieħed. Hemm ukoll dak li spiss ma jkunx magħruf: mil-liema żmien jinsab hemm u x'sar bih fil-bejn?
Kif tagħrfu webshell
- fajl tal-PHP f'folder fejn m'għandhomx ikunu, bħal uploads, cache, immaġini jew direttorji temporanji
- ismijiet ta' fajls li jidhru bħal fajls tas-sistema, imma ma jagħmlux parti mis-software tagħkom, jew ismijiet b'estensjoni doppja
- kodiċi li ma jinqarax, b'ktajjen twal ta' karattri, kodifikazzjoni u funzjonijiet għall-eżekuzzjoni ta' kmandi, ara Kif tagħrfu kodiċi PHP moħbi
- data ta' bidla li ma taqbilx mal-aġġornamenti tagħkom
- aċċessi għal dan il-fajl fil-logs, spiss minn indirizzi barranin u b'talbiet POST
- proċessi tas-server tal-web li jibdew shell, kif deskritt f'Sinjal ta' twissija: is-server tal-web jibda shell
Kif tinterpretaw sew is-sejbiet issibu f'Fajls tal-PHP fil-folder tal-upload u fid-dettall f'Kif tagħrfu u tneħħu webshells.
X'għandkom tagħmlu minnufih
- Taċċessawx il-fajl u teżegwuhx. Ebda testijiet fil-browser.
- Tħassruhx u ċċaqalquhx. Ibdlux la l-kontenut u lanqas it-timestamp.
- Innotaw: il-mogħdija sħiħa, l-isem tal-fajl, il-ħin tas-sejba, min skopriha u b'liema mezz.
- Isalvaw il-fajl u l-metadata: Kopja bis-sid, bid-drittijiet u bit-timestamps. Kmandi ta' verifika li jaqraw biss huma biżżejjed, pereżempju:
bash
stat /pfad/zur/datei.php
sha256sum /pfad/zur/datei.php
- Żommu l-logs: Tħallux jiġu miktuba fuq il-protokolli tal-aċċess u tal-iżbalji tas-server tal-web u ta' PHP. L-istampa speċjalizzata tirrakkomanda li jinżammu l-logs tas-server mill-20/10/2026 'il quddiem.
- Iżolaw is-server jekk meħtieġ: Jekk issuspettaw li d-data qed toħroġ 'il barra, neħħu l-paġna min-netwerk. Kif tippreservaw il-provi f'dan il-ħin jiddeskrivih Isalvaw il-provi qabel terġgħu twaqqfu.
- Informawna qabel ma jinbidlu l-passwords jew jiġu mnaddfa l-fajls.
Kif tgħin PHP SOS b'mod konkret?
- Niġbru s-sitwazzjoni: X'ġie misjub, fejn, meta u minn min? Liema sistemi jinsabu fuq l-istess server?
- Nisalvaw u nagħlqu: Insalvaw is-sejba, il-fajls, id-database u l-logs u nibblukkaw aċċessi li jidhru suspettużi.
- Nivverifikaw u ninnaddfu: Infittxu webshells oħra, fajls tal-qalba mibdula, cronjobs moħbija, kontijiet ta' amministratur barranin u ċwievet SSH mhux magħrufa, u neħħuhom. Il-proċedura taqbel mas-servizz Tneħħija tal-malware u tal-webshells.
- Insaħħu u nirrapportaw: Insemmu l-punt probabbli tad-dħul, nagħlquh u nsaħħu s-server. Tirċievu dokumentazzjoni bis-sejbiet u bl-iskeda taż-żmien.
Kif waslet il-webshell fuq is-server?
Modi tipiċi huma plugins jew estensjonijiet skaduti, uploads mhux sikuri ta' fajls, kredenzjali misruqa u vulnerabbiltajiet fis-software tas-server. Mill-pubblikazzjoni ta' PHP2Shell tiżdied possibbiltà oħra: PHP mingħajr il-korrezzjonijiet minn 8.5.12, 8.4.27, 8.3.36 jew 8.2.35 jista' jiġi abbużat mill-bogħod għall-eżekuzzjoni ta' kodiċi. Indicators of Compromise ikkonfermati ma hemmx dwar dan; l-iskoperta tistrieħ fuq l-imġiba. Jekk id-dħul għandkom sar permezz ta' PHP2Shell jew b'mod ieħor jista' jiġi dedott biss mit-traċċi, u aħna nsemmu x'inhu ppruvat u x'inhu suppożizzjoni. Kif jgħinu l-logs f'dan juri Analiżi tal-logs tas-server tal-web.
Patch ma jneħħix webshell eżistenti. Il-protezzjoni kontra sejbiet futuri tagħmel parti wkoll: Ipprojbixxu l-eżekuzzjoni ta' PHP fil-folders tal-upload jipprevjeni ħafna każijiet. Ikkunsidraw ukoll il-limiti tal-scanners tal-malware: scan mingħajr sejba mhuwiex sinjal ta' ħelsien mit-twissija.
Jekk għandkom bżonn tkunu tafu eżattament x'ġara, pereżempju għall-assikuratur jew l-awtoritajiet, tista' tkun sensibbli forensika tal-IT.
U jekk il-webshell terġa' tiġi wara t-tħassir?
Dan jiġri ta' spiss u ġeneralment għandu żewġ raġunijiet. Jew hemm tal-inqas backdoor oħra li terġa' toħloq is-sejba, jew il-bieb tad-dħul għadu miftuħ u l-attakkant sempliċement jerġa' jiġi. L-ebda wieħed minnhom ma jinħall b'tħassir ripetut. Għalhekk infittxu l-bidliet kollha flimkien: fajls ġodda u mibdula, entrati fid-database u fil-konfigurazzjoni, kompiti skedati, kontijiet. Lista tal-fajls li nbidlu riċentement hija f'dan l-bidu sensibbli, imma ma tissostitwix il-verifika minn esperti.
X'għandkom tibagħtu lilna
- Il-mogħdija u l-isem tal-fajl, jekk possibbli bħala kopja bit-timestamps (it-triq tat-trasferiment niftehmu fuqha)
- Siltiet mil-logs tal-aċċess madwar dan il-fajl, jekk għandkom aċċess
- Tip ta' server, hoster, verżjoni ta' PHP u modalità tat-tħaddim, jekk magħruf
- liema websajts u applikazzjonijiet jaħdmu fuq is-server
- meta saru l-aħħar aġġornamenti, uploads jew bidliet
Għaliex PHP SOS
Naħdmu Made in Germany u, man-netwerk tas-sieħba tagħna ta' professjonisti taċ-ċibersigurtà, aħna speċjalizzati fis-sigurtà tal-IT għal aktar minn 25 sena. Persuna ta' kuntatt waħda tmexxikom matul l-inċident. Naħdmu mill-bogħod, mingħajr vjaġġ, fil-Ġermanja kollha u fl-Ewropa, niddokumentaw kull pass u ma nagħmlux wegħdiet li ħadd ma jista' jżomm. Nibqgħu sakemm l-inċident jingħalaq u jiġi ddokumentat.
Intom affettwati? Ċemplulna. Aħna ngħinu.
Webshell misjuba hija sinjal ta' twissija li għandkom tieħdu bis-serjetà. Ikkuntattjawna issa, bit-telefon jew WhatsApp, u nieħdu f'idejna mill-ewwel messaġġ. Irrapportaw emerġenza issa
Mistoqsijiet frekwenti
Sibt webshell. Nista' sempliċement inħassar il-fajl?
Jekk jogħġobkom mhux bħala l-ewwel pass. Il-fajl juri meta u b'liema mezz daħal l-attakkant. Isalvawh l-ewwel flimkien mat-timestamps u mas-sid, imbagħad jitneħħa b'mod immirat. Min iħassar biss spiss iħalli aċċessi oħra warajh.
Għandi nsejjaħ il-fajl suspettuż fil-browser biex nara x'jagħmel?
Le. Sejħa tista' teżegwixxi l-kodiċi malizzjuż u tkisser traċċi oħra. Ivverifikaw il-fajl biss billi taqrawh, u aħjar fuq kopja.
Huwa biżżejjed scanner tal-malware biex insibu l-webshells kollha?
Mhux b'mod affidabbli. Scanners jagħrfu mudelli magħrufa, imma webshells moħbija jew mibnija ġodda jaħarbulhom. Scan nadif ma jippruvax li ma fadal xejn.
Kif inkun naf kemmilha l-webshell fuq is-server?
Indikazzjonijiet jagħtu d-data tal-bidla, il-logs tal-aċċess u tal-iżbalji u t-tqabbil ma' fajls ġodda oħra. It-timestamps, madankollu, jistgħu jiġu ffalsifikati. Għalhekk nevalwaw diversi sorsi u nsemmu dak li huwa ppruvat u dak li huwa suppożizzjoni.
Irrid nirrapporta s-sejba?
Hekk kif data personali tista' tkun affettwata, jista' jkun meħtieġ rapport lill-awtorità superviżorja. Dwar dan jagħtu parir l-uffiċjali tal-protezzjoni tad-data jew l-avukati; aħna nipprovdu l-fatti tekniċi.