Web應急：網站被植入Webshell

網站被植入webshell，意味着網站存在可利用的高危漏洞，攻擊者經過利用漏洞入侵網站，寫入webshell接管網站的控制權。爲了獲得權限 ，常規的手段如：先後臺任意文件上傳，遠程命令執行，Sql注入寫入文件等。

現象描述

網站管理員在站點目錄下發現存在webshell，因而開始了對入侵過程展開了分析。

Webshell查殺工具：

D盾_Web查殺 Window下webshell查殺：http://www.d99net.net/index.asp

河馬：支持多平臺，可是須要聯網環境。

使用方法: wget http://down.shellpub.com/hm/latest/hm-linux-amd64.tgz tar xvf hm-linux-amd64.tgz hm scan /www

事件分析

一、 定位時間範圍

經過發現的webshell文件建立時間點，去翻看相關日期的訪問日誌。

二、Web 日誌分析

通過日誌分析，在文件建立的時間節點並未發現可疑的上傳，但發現存在可疑的webservice接口

三、漏洞分析

訪問webservice接口，發現變量：buffer、distinctpach、newfilename能夠在客戶端自定義

四、漏洞復現

嘗試對漏洞進行復現，可成功上傳webshell，控制網站服務器

五、漏洞修復

清除webshell並對webservice接口進行代碼修復。

從發現webshell到日誌分析，再到漏洞復現和修復，本文暫不涉及溯源取證方面。