Pe scurt: Un webshell este un fișier mic prin care un străin poate controla serverul dumneavoastră de la distanță. Cine a găsit unul este foarte probabil afectat și ar trebui să ne contacteze imediat. Nu ștergeți, nu deschideți, mai întâi salvați. Clarificăm la distanță cum a ajuns pe server, dacă există alte accesuri, și curățăm serverul.
Acum nu ștergeți nimic și nu reinstalați nimic. Nici webshell-ul în sine nu se atinge deocamdată, pentru ca să poată fi salvat. Sunteți afectat? Sunați-ne sau scrieți-ne pe WhatsApp ori semnalați constatarea prin Anunțați urgența.
Ați găsit un webshell: ce înseamnă aceasta?
Un webshell este un script PHP (sau un script într-un alt limbaj de server) care primește comenzi din exterior. Cu el, atacatorii pot citi fișiere, descărca date, reîncărca cod malițios și ajunge la alte sisteme. Fișierul este de aceea rareori ținta atacului. Este ușa dosnică pe care o lasă un intrus, pentru a se putea întoarce.
Aceasta are două consecințe. În primul rând: cineva a avut deja acces de scriere pe serverul dumneavoastră sau a putut executa cod. În al doilea rând: fișierul găsit nu este, probabil, singurul. La aceasta se adaugă ceea ce adesea nu se știe: de când se află acolo și ce s-a făcut între timp cu el?
Cum recunoașteți un webshell
- un fișier PHP într-un dosar în care nu ar trebui să existe, de exemplu încărcări, cache, imagini sau directoare temporare
- nume de fișiere care arată ca fișiere de sistem, dar nu aparțin software-ului dumneavoastră, sau nume cu dublă extensie
- cod ilizibil, cu șiruri lungi de caractere, codificare și funcții pentru executarea comenzilor, vezi Recunoașterea codului PHP ofuscat
- o dată a modificării care nu se potrivește cu actualizările dumneavoastră
- accesări ale acestui fișier în loguri, adesea de la adrese străine și cu cereri POST
- procese ale serverului web care pornesc un shell, așa cum este descris la Semnal de alarmă: serverul web pornește un shell
Cum interpretați corect constatările găsiți la Fișiere PHP în dosarul de încărcare și pe larg la Recunoașterea și eliminarea webshell-urilor.
Ce faceți imediat
- Nu deschideți fișierul și nu îl executați. Fără teste în browser.
- Nu ștergeți și nu mutați. Nu modificați nici conținutul, nici marcajele de timp.
- Notați: calea completă, numele fișierului, momentul descoperirii, cine l-a descoperit și cu ce.
- Salvați fișierul și metadatele: o copie cu proprietar, drepturi și marcaje de timp. Comenzile de verificare doar în citire sunt suficiente, de exemplu:
bash
stat /pfad/zur/datei.php
sha256sum /pfad/zur/datei.php
- Păstrați logurile: nu lăsați să fie suprascrise jurnalele de acces și de erori ale serverului web și ale PHP. Presa de specialitate recomandă păstrarea logurilor serverului începând cu 20.10.2026.
- Izolați serverul dacă este necesar: dacă bănuiți că se exfiltrează date, scoateți pagina din rețea. Cum păstrați probele în acest timp descrie Conservați probele înainte de reinstalare.
- Informați-ne înainte de a schimba parole sau de a curăța fișiere.
Cum ajută PHP SOS concret?
- Imaginea situației: Ce a fost găsit, unde, când și de către cine? Ce sisteme se află pe același server?
- Salvare și închidere: Salvăm constatarea, fișierele, baza de date și logurile și blocăm accesurile care par suspecte.
- Verificare și curățare: Căutăm alte webshell-uri, fișiere de bază modificate, cronjob-uri ascunse, conturi de administrator străine și chei SSH necunoscute și le eliminăm. Procedura corespunde serviciului Eliminarea malware-ului și a webshell-urilor.
- Securizare și raport: Indicăm probabila poartă de intrare, o închidem și securizăm serverul. Primiți o documentație cu constatări și cronologie.
Cum a ajuns webshell-ul pe server?
Căile tipice sunt plugin-urile sau extensiile învechite, încărcările nesigure de fișiere, datele de acces furate și vulnerabilitățile din software-ul serverului. De la publicarea PHP2Shell se adaugă o altă posibilitate: PHP fără corecturile din 8.5.12, 8.4.27, 8.3.36 sau 8.2.35 poate fi folosit abuziv la distanță pentru executarea de cod. Nu există indicatori de compromitere confirmați în acest sens, detectarea se bazează pe comportament. Dacă intrarea la dumneavoastră a fost prin PHP2Shell sau pe altă cale se poate deduce doar din urme, iar noi marcăm ce este dovedit și ce este presupus. Cum ajută logurile aici arată Analiza logurilor serverului web.
Un patch nu elimină un webshell existent. Protecția împotriva constatărilor viitoare face de asemenea parte din aceasta: Interzicerea execuției PHP în dosarele de încărcare previne multe cazuri. Țineți cont și de limitele scannerelor de malware: o scanare fără rezultat nu este un semnal de liniștire.
Dacă trebuie să știți exact ce s-a întâmplat, de exemplu pentru asigurători sau autorități, poate fi util un serviciu de criminalistică IT.
Și dacă webshell-ul revine după ștergere?
Se întâmplă frecvent și are de obicei două motive. Fie există cel puțin o altă ușă dosnică, care recreează constatarea, fie poarta de intrare este în continuare deschisă, iar atacatorul pur și simplu revine. Niciuna dintre cele două nu se rezolvă prin ștergere repetată. De aceea căutăm ansamblul modificărilor: fișiere noi și modificate, intrări în baza de date și în configurație, sarcini programate, conturi. O listă a fișierelor modificate recent este un bun început aici, dar nu înlocuiește verificarea făcută de specialiști.
Ce ar trebui să ne trimiteți
- calea și numele fișierului, de preferință ca o copie cu marcaje de timp (calea de predare o stabilim împreună)
- fragmente din logurile de acces din jurul acestui fișier, dacă aveți acces
- tipul serverului, furnizorul de hosting, versiunea PHP și modul de operare, dacă le cunoașteți
- ce site-uri și aplicații rulează pe server
- când au avut loc ultimele actualizări, încărcări sau modificări
De ce PHP SOS
Lucrăm Made in Germany și suntem specializați în securitate IT de peste 25 de ani, împreună cu rețeaua noastră de parteneri din profesioniști cyber. Un interlocutor vă conduce prin incident. Lucrăm la distanță, fără deplasare, în toată Germania și Europa, documentăm fiecare pas și nu facem promisiuni pe care nu le poate ține nimeni. Rămânem alături până când incidentul este încheiat și documentat.
Sunteți afectat? Sunați-ne. Vă ajutăm.
Un webshell găsit este un semn de alarmă pe care ar trebui să-l luați în serios. Contactați-ne acum, prin apel sau WhatsApp, iar noi preluăm cazul de la primul mesaj. Anunțați acum urgența
Întrebări frecvente
Am găsit un webshell. Am voie să șterg pur și simplu fișierul?
Vă rugăm, nu ca prim pas. Fișierul arată când și cu ce a venit atacatorul. Salvați-l mai întâi, împreună cu marcajele de timp și proprietarul, apoi el se elimină țintit. Cine doar șterge lasă de obicei în urmă alte accesuri.
Ar trebui să deschid fișierul suspect în browser, pentru a vedea ce face?
Nu. O deschidere poate executa codul malițios și poate șterge alte urme. Verificați fișierul doar în citire și, de preferință, pe o copie.
Este suficient un scanner de malware pentru a găsi toate webshell-urile?
Nu în mod fiabil. Scannerele recunosc tipare cunoscute, dar webshell-urile ofuscate sau construite recent le scapă. O scanare curată nu dovedește că nu a mai rămas nimic.
De unde știu de cât timp se află webshell-ul pe server?
Indicii oferă data modificării, logurile de acces și de erori, precum și comparațiile cu alte fișiere noi. Marcajele de timp pot fi însă falsificate. De aceea evaluăm mai multe surse și marcăm ce este dovedit și ce este presupus.
Trebuie să notific constatarea?
De îndată ce ar putea fi afectate date cu caracter personal, poate fi necesară o notificare către autoritatea de supraveghere. În această privință consiliază responsabilii cu protecția datelor sau avocații; noi furnizăm faptele tehnice.