Na kratko: Webshell je majhna datoteka, prek katere lahko tujec na daljavo upravlja vaš strežnik. Kdor jo je našel, je zelo verjetno prizadet in naj se takoj javi. Ne brišite je, ne odpirajte je, najprej zavarujte. Na daljavo razjasnimo, kako je prišla na strežnik, ali obstajajo dodatni dostopi, in strežnik očistimo.
Zdaj ničesar ne brišite in ničesar ne postavljajte znova. Tudi sam webshell zaenkrat ostane na mestu, da ga je mogoče zavarovati. Ste prizadeti? Pokličite ali pišite po WhatsAppu ali najdbo sporočite prek Prijave nujnega primera.
Našli ste webshell: kaj to pomeni?
Webshell je skript PHP (ali skript v drugem strežniškem jeziku), ki od zunaj sprejema ukaze. S tem lahko napadalci berejo datoteke, prenašajo podatke, naknadno nalagajo škodljivo kodo in dosežejo druge sisteme. Datoteka zato redko pogojuje cilj napada. Je stranska vrata, ki jih vlomilec pusti, da se vrne.
To ima dve posledici. Prvič: nekdo je že imel pisalni dostop do vašega strežnika ali je lahko izvajal kodo. Drugič: najdena datoteka verjetno ni edina. K temu pride, česar pogosto ne vemo: od kdaj tam leži in kaj se je medtem z njo počelo?
Po čem prepoznate webshell
- datoteka PHP v mapi, kjer je ne bi smelo biti, na primer v mapi z naloženimi datotekami, predpomnilniku, slikah ali začasnih imenikih
- imena datotek, ki so videti kot sistemske datoteke, a ne sodijo k vaši programski opremi, ali imena z dvojno končnico
- neberljiva koda z dolgimi nizi znakov, kodiranjem in funkcijami za izvajanje ukazov, glej Prepoznavanje zakrite kode PHP
- datum spremembe, ki ne ustreza vašim posodobitvam
- dostopi do te datoteke v dnevnikih, pogosto s tujih naslovov in z zahtevami POST
- procesi spletnega strežnika, ki zaženejo lupino, kot je opisano v prispevku Opozorilni znak: spletni strežnik zažene lupino
Kako najdbe pravilno razlagate, je na strani Datoteke PHP v mapi za nalaganje in podrobno na strani Prepoznavanje in odstranjevanje webshellov.
Kaj storite takoj
- Datoteke ne odpirajte in je ne izvajajte. Brez testov v brskalniku.
- Ne brišite je in je ne premikajte. Ne spreminjajte ne vsebine ne časovnih žigov.
- Zapišite: celotno pot, ime datoteke, čas najdbe, kdo jo je odkril in s čim.
- Zavarujte datoteko in metapodatke: kopija z lastnikom, pravicami in časovnimi žigi. Zadoščajo ukazi za preverjanje samo za branje, na primer:
bash
stat /pfad/zur/datei.php
sha256sum /pfad/zur/datei.php
- Ohranite dnevnike: dnevnikov dostopa in napak spletnega strežnika in PHP ne dovolite prepisati. Strokovni tisk svetuje hrambo strežniških dnevnikov od 20. 10. 2026 naprej.
- Strežnik po potrebi izolirajte: Če sumite, da podatki uhajajo, stran odklopite z omrežja. Kako pri tem ohranite dokaze, opisuje stran Zavarujte dokaze, preden postavite znova.
- Obvestite nas, preden se gesla zamenjajo ali datoteke očistijo.
Kako konkretno pomaga PHP SOS?
- Ocena stanja: Kaj je bilo najdeno, kje, kdaj in kdo? Kateri sistemi ležijo na istem strežniku?
- Zavarovanje in zapiranje: Zavarujemo najdbo, datoteke, zbirko podatkov in dnevnike ter blokiramo dostope, ki delujejo sumljivo.
- Preverjanje in čiščenje: Iščemo dodatne webshelle, spremenjene jedrne datoteke, skrita opravila cron, tuje skrbniške račune in neznane ključe SSH ter jih odstranimo. Postopek ustreza storitvi odstranjevanje zlonamerne kode in webshellov.
- Utrjevanje in poročilo: Imenujemo verjetno vstopno točko, jo zapremo in strežnik zavarujemo. Prejmete dokumentacijo z najdbami in časovnico.
Kako je webshell prišel na strežnik?
Tipične poti so zastareli vtičniki ali razširitve, nezavarovana nalaganja datotek, ukradeni dostopni podatki in vrzeli v programski opremi strežnika. Od objave PHP2Shell se pridruži še ena možnost: PHP brez popravkov iz 8.5.12, 8.4.27, 8.3.36 ali 8.2.35 je mogoče od daleč zlorabiti za izvajanje kode. Potrjenih indikatorjev ogroženosti (Indicators of Compromise) za to ni, prepoznavanje temelji na vedenju. Ali je vstop pri vas potekal prek PHP2Shell ali po drugi poti, je mogoče sklepati le iz sledi, mi pa označimo, kaj je dokazano in kaj domneva. Kako pri tem pomagajo dnevniki, kaže stran Analiza dnevnikov spletnega strežnika.
Popravek pri tem obstoječega webshella ne odstrani. Zaščita pred prihodnjimi najdbami sodi zraven: Prepoved izvajanja PHP v mapah za nalaganje prepreči številne primere. Upoštevajte tudi meje skenerjev zlonamerne kode: pregled brez najdbe ni signal za preklic opozorila.
Če morate vedeti, kaj točno se je zgodilo, na primer za zavarovalnico ali organe, je lahko smiselna IT-forenzika.
In če se webshell po brisanju vrne?
To se pogosto zgodi in ima običajno dva razloga. Ali obstajajo vsaj še ena stranska vrata, ki najdbo znova ustvarijo, ali pa je vstopna točka še odprta in napadalec preprosto pride znova. Nobenega od tega ni mogoče rešiti z večkratnim brisanjem. Zato iščemo celoto sprememb: nove in spremenjene datoteke, vnose v zbirki podatkov in konfiguraciji, načrtovana opravila, račune. Seznam nedavno spremenjenih datotek je pri tem smiseln začetek, vendar ne nadomesti pregleda strokovnjakov.
Kaj nam pošljite
- pot in ime datoteke, po možnosti kot kopijo s časovnimi žigi (način predaje uskladimo)
- izseke iz dnevnikov dostopa okoli te datoteke, če imate dostop
- vrsta strežnika, ponudnik gostovanja, različica PHP in način delovanja, če je znano
- katere spletne strani in aplikacije tečejo na strežniku
- kdaj so bile nazadnje posodobitve, nalaganja ali spremembe
Zakaj PHP SOS
Delamo »Made in Germany« in smo s partnerskim omrežjem kibernetskih strokovnjakov že več kot 25 let specializirani za IT-varnost. En sogovornik vas vodi skozi incident. Delamo na daljavo, brez prihoda na kraj, po vsej Nemčiji in Evropi, dokumentiramo vsak korak in ne dajemo obljub, ki jih nihče ne more izpolniti. Ostanemo, dokler incident ni zaključen in dokumentiran.
Ste prizadeti? Pokličite nas. Pomagamo.
Najden webshell je opozorilni znak, ki ga je treba vzeti resno. Javite se zdaj, s klicem ali po WhatsAppu, in prevzamemo že od prvega sporočila. Prijavite nujni primer zdaj
Pogosta vprašanja
Našel sem webshell. Ali smem datoteko preprosto izbrisati?
Prosim ne najprej. Datoteka kaže, kdaj in s čim je napadalec prišel. Najprej jo zavarujte skupaj s časovnimi žigi in lastnikom, nato se ciljno odstrani. Kdor samo briše, večinoma pusti dodatne dostope.
Ali naj sumljivo datoteko odprem v brskalniku, da vidim, kaj počne?
Ne. Odprtje lahko izvede škodljivo kodo in zabriše dodatne sledi. Datoteko preglejte samo za branje in najbolje na kopiji.
Ali skener zlonamerne kode zadostuje, da najdem vse webshelle?
Ne zanesljivo. Skenerji prepoznajo znane vzorce, zakrite ali na novo zgrajene webshelle pa jim uidejo. Čist pregled ne dokazuje, da ni ničesar več.
Kako vem, kako dolgo webshell že leži na strežniku?
Namige dajejo datum spremembe, dnevniki dostopa in napak ter primerjave z drugimi novimi datotekami. Časovne žige pa je mogoče ponarediti. Zato ocenimo več virov in označimo, kaj je dokazano in kaj domneva.
Ali moram najdbo prijaviti?
Takoj ko bi bili lahko prizadeti osebni podatki, je lahko potrebna prijava nadzornemu organu. O tem svetujejo pooblaščenci za varstvo podatkov ali odvetniki; tehnična dejstva zagotovimo mi.