Обнаружение вебшеллов

[slaper]

Приветствую, многоуважаемые жители форума, подскажите, пожалуйста, как вычислить все вебшеллы на сервере?

 

[c0d3x]

О каком сервере идет речь? О своем? Если да, то рекомендую imunify360, он детектит (правда не всегда) даже те мини-шеллы которые сам зае#ешься грепать, функции которых через конкатенацию запилены, типа таких:

$function = 'a' . 'sse' . 'r' . 't';
if (isset($_COOKIE['PHPSESSID'])) {
    $function($_COOKIE['PHPSESSID']);
} else {
    echo "";
}

 

[slaper]

О каком сервере идет речь? О своем? Если да, то рекомендую imunify360, он детектит (правда не всегда) даже те мини-шеллы которые сам зае#ешься грепать, функции которых через конкатенацию запилены, типа таких:

$function = 'a' . 'sse' . 'r' . 't';
if (isset($_COOKIE['PHPSESSID'])) {
    $function($_COOKIE['PHPSESSID']);
} else {
    echo "";
}

ну как сказать о своем))) а это имеет значение в техническом плане?

 

[slaper]

О каком сервере идет речь? О своем? Если да, то рекомендую imunify360, он детектит (правда не всегда) даже те мини-шеллы которые сам зае#ешься грепать, функции которых через конкатенацию запилены, типа таких:

$function = 'a' . 'sse' . 'r' . 't';
if (isset($_COOKIE['PHPSESSID'])) {
    $function($_COOKIE['PHPSESSID']);
} else {
    echo "";
}

желательно, конечно, чтобы можно было выбирать какие шеллы удалять, а какие нет

 

[c0d3x]

ну как сказать о своем))) а это имеет значение в техническом плане?

Ну например тот же imunify360 ты с правами www-root/www-data попросту не поставишь, нужен рут. Если ты залился на какой-то сервер и хочешь выпилить оттуда предполагаемые чужие шеллы, то логичнее выкачать все файлы сайта и прогнать их у себя на локалке вышеупомянутым мною инструментом.

 

[hvb]

ну как сказать о своем))) а это имеет значение в техническом плане?

Да, потому что даже простенький скрипт запустить - он у тебя по таймауту из php.ini закроется раньше, чем отработать успеет, если на сайте более-менее файлов много и запускать его нужно из командной строки.

Но решение выше подсказано. Выкачиваешь бэкап и у себя на локалке гоняешь уже чем угодно, хоть Касперским) Он сигнатуры основных шелов знает.

 

[slaper]

Ну например тот же imunify360 ты с правами www-root/www-data попросту не поставишь, нужен рут. Если ты залился на какой-то сервер и хочешь выпилить оттуда предполагаемые чужие шеллы, то логичнее выкачать все файлы сайта и прогнать их у себя на локалке вышеупомянутым мною инструментом.

спасибо большое!

 

[kosheemod]

дизлайкеры ушлепки

 

[grpnt]

a lot of different ways but i always suggest starting with access logs. grepping for POSTs and in all domains in question can prove helpful. also searching web dirs for certain over used functions from most shells (e.g., grep for eval, execs, base64, etc).