【杂记-webshell恶意脚本木马】

一、webshell概述及分类

概述
webshell，通常作为web应用管理工具，运维人员可以通过 webshell （服务器管理工具）针对 web 服务器进行日常的运维管理以及系统上线更新等，攻击者也可以通过 webshell （后门程序）来管理 web 应用服务器，攻击者使用webshell作为恶意脚本木马，可通过服务器开放的端口获取服务器的某些权限。
分类
1、大马：体积大、功能齐全、能够管理数据库、文件管理、对站点进行快速的信息收集，甚至能够提权，但上传过程中容易被检测且不方便进行上传绕过测试。
2、小马：小马的功能通常是围绕文件管理的功能，比较简单，如：文件上传、文件修改、新建文件等，在上传文件的时候，会被限制上传的文件大小或是拦截的情况，可以通过小马来上传大马，实现我们想要的功能。
3、一句话木马：短小精悍、功能强大、隐蔽性好、使用客户端可以快速管理webshell。
区别
小马上传大马阶段使用的木马是将功能函数写死在木马文件中，然后执行固定的功能。
一句话木马是在服务端就一句话，然后使用客户端通过发送功能函数到服务端，服务端将功能函数进行执行并将结果返回给客户端，然后解析并显示结果。

二、webshell攻击原理

利用Web服务器自身的环境运行的恶意代码，及通过WebShell脚本的上传，利用网页服务程序实现操控服务器。其上传到网站目录中，就可以对网站服务器进行操控，包括读取数据库、删除文件、修改主页等。

三、WebShell如何防御

1、配置必要的防火墙，并开启防火墙策略，防止暴露不必要的服务为攻击者提供利用条件。
2、对服务器进行安全加固，例如关闭远程桌面功能、定期更换密码、禁止使用最高权限用户运行程序、使用 HTTPS 加密协议等。
3、加强权限管理，对敏感目录进行权限设置，限制上传目录的脚本执行权限，不允许配置执行权限等。
4、安装 Webshell 检测工具，根据检测结果对已发现的可疑 Webshell 痕迹立即隔离查杀，并排查漏洞。
5、排查程序存在的漏洞，并及时修补漏洞。可以通过专业人员的协助排查漏洞及入侵原因。
6、时常备份数据库等重要文件。
7、需要保持日常维护，并注意服务器中是否有来历不明的可执行脚本文件。
8、采用白名单机制上传文件，不在白名单内的一律禁止上传，上传目录权限遵循最小权限原则。