webshell查杀逃逸技术研究.docx

webshell查杀逃逸技术研究
一、概述
WebShell是Web服务器上被黑客攻陷的一个恶意脚本文件，其可以提供黑客执行操作系统命令、获取服务器敏感信息、修改网站内容等多种攻击手段。WebShell具有易上传、免杀难检测等特点，被广泛应用于网络攻击中。针对WebShell，目前市场上已经有多种查杀工具，包括腾讯安全专家研发的T-WEB、360公司自主研发的云锁等。然而，这些查杀工具目前也存在一些盲点，无法完全杜绝WebShell的产生和传播，因此，研究WebShell查杀逃逸技术和防御措施具有重要的实际意义。
本文将围绕WebShell查杀逃逸技术展开研究，分为三个部分：首先介绍WebShell的攻击方式和特点，其次探讨已有查杀工具存在的不足和可利用的逃逸技术，最后提出WebShell的预防策略和建议，以期帮助网络管理员更好地保障服务器和网站的安全。
二、WebShell的特点和攻击方式
WebShell属于一种命令执行类攻击工具，通常通过将WebShell文件上传至服务器指定目录来进行攻击。攻击者利用WebShell代码，从浏览器或命令行执行操作系统命令，可以窃取网站的重要信息、修改服务器配置或注入WebShell等操作。WebShell的特点如下：
1、易于上传：WebShell通常利用注册、留言或文件上传等多种方式上传至服务器中。同时，攻击者也可以直接通过客户端软件、密码爆破和拒绝服务攻击等方式入侵服务器，再进行上传操作。相比其他恶意代码，攻击者仅需要一个有效的账户和密码即可上传WebShell，使其广泛被应用于黑客攻击中。
2、免杀难检测：WebShell具有易于编写、短小精悍、能够混淆代码等特点，因此被安全专家称为“万能钥匙”，很难被查杀工具检测到。同时，WebShell还可以通过多层压缩和混淆代码等手段来防止被查杀工具识别和杀毒。
3、使用方便：WebShell使用简单，攻击者不需要专业的编程技能和操作知识就能够进行攻击。攻击者可以通过简单的命令行或Web界面来操作服务器，极大地降低了攻击成本和门槛。
常见的WebShell攻击方式包括PHP后门、ASP一句话木马、JSP马、ASPX马等多种形式。其中，PHP后门是最为常见的一种攻击方式，可以将WebShell文件上传至PHP文件的指定路径，并在浏览器中输入相应的口令以利用WebShell攻击服务器。
三、已有查杀工具存在的不足和可利用的逃逸技术
目前，市面上已有许多WebShell查杀工具，例如WSSAT、WebshellScan等，这类工具主要通过对WebShell语句进行白名单检查、特征码检测等方式来进行查杀。然而，这些查杀工具仍然存在一定的不足，被攻击者可以利用以下技术来逃避其查杀：
1、代码异构：利用代码的异构性来使查杀工具无法识别WebShell。攻击者可以通过多种方式，如变量替换、语句重组、类似函数替换等手段来改变WebShell文件的结构和组成方式，从而在查杀工具中“混淆视听”，使其无法检测到WebShell的存在。
2、动态生成WebShell：攻击者可以在WebShell中嵌入加密程序，利用该程序动态生成WebShell代码，从而突破查杀工具对WebShell的检测。这种技术被称为“动态WebShell”，具有不可检测、攻击成功率高等优点，所以也成为了黑客攻击中的常用手段。
3、恶意加密：攻击者可以在WebShell中植入恶意加密程序，将原来简单易懂的代码变成难以理解的加密文件。该技术有效地避开了查杀工具，同时也给了攻击者更多的灵活性。
4、利用文件夹规则：攻击者可以将WebShell文件隐蔽在某个不易察觉的目录下，从而躲过查杀工具的扫描。例如，对于PHP后门类型的WebShell，攻击者可以利用相对路径或者加上长字符串的方法来将WebShell文件隐藏在某个不易被发现的目录下。
四、WebShell查杀与防御措施
为了预防和查杀WebShell，在实际应用中，需要采用各种措施和防御策略来提高安全性。具体措施如下：
1、加强文件上传和输入检测：WebShell一般是通过文件上传、表单提交或者参数传递来实现的。因此，加强文件上传和输入检测，对上传的文件进行白名单过滤和类型判断，对输入的字节码进行转义和过滤，都可以有效减少WebShell的产生。
2、细化权限管理：通过细化权限管理，限制Web服务器上的文件访问权限，加强访问控制规则，可以有效防止WebShell的上传和运行。
3、应用防火墙：应用防火墙可以对HTTP请求进行监控和拦截，通过设置规则实现相关的安全检测和过滤操作，防止WebShell在用户提交的HTTP数据中传输。
4、多层过滤策略：通过多层过滤策略，结合反弹SHELL的检测和由WebShell发起的URF攻击检测，从而实现WebS