Lyhyesti: Web shell on pieni tiedosto, jonka avulla vieras voi hallita palvelintanne etänä. Se, joka on löytänyt sellaisen, on hyvin todennäköisesti kohteena ja kannattaa ottaa yhteyttä heti. Ei poistamista, ei avaamista, ensin varmistus. Selvitämme etänä, miten se pääsi palvelimelle ja onko muita pääsyoikeuksia, ja puhdistamme palvelimen.
Älkää nyt poistako mitään äläkä asentako palvelinta uudelleen. Myös itse web shell jää aluksi paikalleen, jotta se voidaan varmistaa. Koskeeko tämä teitä? Soittakaa tai kirjoittakaa WhatsAppilla tai ilmoittakaa löytö hätätilanteen ilmoituksella.
Löysitte web shellin: mitä se tarkoittaa?
Web shell on PHP-skripti (tai skripti jollakin muulla palvelinkielellä), joka ottaa vastaan komentoja ulkopuolelta. Sen avulla hyökkääjät voivat lukea tiedostoja, ladata tietoja, ladata lisää haittakoodia ja päästä muihin järjestelmiin. Tiedosto on siksi harvoin hyökkäyksen päämäärä. Se on takaovi, jonka murtautuja jättää, jotta voi palata.
Siitä seuraa kaksi asiaa. Ensinnäkin: jollakulla oli jo kirjoitusoikeus palvelimellenne tai hän pystyi suorittamaan koodia. Toiseksi: löytynyt tiedosto ei todennäköisesti ole ainoa. Lisäksi on asia, jota usein ei tiedetä: mistä lähtien se on ollut siellä ja mitä sillä on sillä välin tehty?
Mistä tunnistatte web shellin
- PHP-tiedosto kansiossa, jossa ei pitäisi olla yhtään, esimerkiksi uploads-, välimuisti-, kuva- tai väliaikaiskansiot
- tiedostonimet, jotka näyttävät järjestelmätiedostoilta mutta eivät kuulu ohjelmistoonne, tai nimet kaksoispäätteellä
- lukukelvoton koodi, jossa on pitkiä merkkijonoja, koodausta ja komentojen suoritukseen tarkoitettuja funktioita, ks. Hämärretyn PHP-koodin tunnistaminen
- muutospäivämäärä, joka ei sovi päivityksiinne
- tähän tiedostoon kohdistuvia pyyntöjä lokeissa, usein vierailta osoitteilta ja POST-pyyntöinä
- verkkopalvelinprosessit, jotka käynnistävät shellin, kuten kuvataan sivulla Varoitusmerkki: verkkopalvelin käynnistää shellin
Miten löydöt tulkitaan oikein, kerrotaan sivulla PHP-tiedostot upload-kansiossa ja perusteellisesti sivulla Web shellien tunnistaminen ja poisto.
Mitä teette heti
- Älkää avatko tiedostoa älkääkä suorittako sitä. Ei testejä selaimessa.
- Älkää poistako älkääkä siirtäkö. Älkää muuttako sisältöä älkääkä aikaleimaa.
- Kirjatkaa: täydellinen polku, tiedostonimi, löytöaika, kuka sen löysi ja millä.
- Varmistakaa tiedosto ja metatiedot: kopio omistajatietoineen, oikeuksineen ja aikaleimoineen. Lukevat tarkistuskomennot riittävät, esimerkiksi:
bash
stat /pfad/zur/datei.php
sha256sum /pfad/zur/datei.php
- Säilyttäkää lokit: verkkopalvelimen ja PHP:n käyttö- ja virhelokeja ei saa antaa päällekirjoittaa. Alan lehdistö neuvoo säilyttämään palvelinlokit 20.10.2026 alkaen.
- Eristäkää palvelin tarvittaessa: jos epäilette tietojen vuotavan, ottakaa sivusto pois verkosta. Miten todisteet säilyvät samalla, kuvataan sivulla Todisteiden varmistus ennen uudelleenasennusta.
- Ilmoittakaa meille, ennen kuin salasanoja vaihdetaan tai tiedostoja puhdistetaan.
Miten PHP SOS auttaa konkreettisesti?
- Tilanteen kartoitus: Mitä löytyi, missä, milloin ja kuka löysi? Mitkä järjestelmät ovat samalla palvelimella?
- Varmistus ja sulkeminen: Varmistamme löydön, tiedostot, tietokannan ja lokit sekä estämme epäilyttävältä vaikuttavat pääsyt.
- Tarkistus ja puhdistus: Etsimme muita web shellejä, muuttuneita ydintiedostoja, piilotettuja cron-töitä, vieraita ylläpitäjätilejä ja tuntemattomia SSH-avaimia ja poistamme ne. Toimintatapa vastaa palvelua Haittaohjelmien ja web shellien poisto.
- Koventaminen ja raportointi: Nimeämme todennäköisen sisäänkäynnin, suljemme sen ja suojaamme palvelimen. Saatte dokumentaation löydöistä ja aikajanasta.
Miten web shell päätyi palvelimelle?
Tyypillisiä reittejä ovat vanhentuneet lisäosat tai laajennukset, turvattomat tiedostolataukset, varastetut tunnukset ja palvelimen ohjelmiston haavoittuvuudet. PHP2Shellin julkistamisesta lähtien mukaan on tullut yksi mahdollisuus lisää: PHP ilman versioiden 8.5.12, 8.4.27, 8.3.36 tai 8.2.35 korjauksia voidaan väärinkäyttää koodin suorittamiseen etänä. Vahvistettuja Indicators of Compromise -tunnisteita siitä ei ole, havaitseminen perustuu käyttäytymiseen. Tapahtuiko sisäänpääsy teillä PHP2Shellin kautta vai jotain muuta reittiä, voidaan päätellä vain jäljistä, ja merkitsemme, mikä on todennettua ja mikä olettamusta. Miten lokit auttavat, näyttää sivu Verkkopalvelinlokien analysointi.
Korjaus ei poista olemassa olevaa web shelliä. Myös suoja tulevia löytöjä vastaan kuuluu asiaan: PHP:n suorituksen kieltäminen upload-kansioissa estää monia tapauksia. Ottakaa huomioon myös haittaohjelmaskannerien rajat: skannaus ilman löytöä ei ole merkki vaaran ohi menemisestä.
Jos teidän on tiedettävä tarkasti, mitä on tapahtunut, esimerkiksi vakuutusyhtiötä tai viranomaisia varten, IT-forensiikka voi olla järkevää.
Entä jos web shell palaa poistamisen jälkeen?
Näin käy usein, ja syitä on yleensä kaksi. Joko on ainakin yksi toinen takaovi, joka luo löydön uudelleen, tai sisäänkäynti on yhä auki ja hyökkääjä tulee vain uudelleen. Kumpaakaan ei ratkaista poistamalla toistuvasti. Siksi etsimme muutosten kokonaisuutta: uudet ja muuttuneet tiedostot, tietokannan ja asetusten merkinnät, ajastetut tehtävät, tilit. Luettelo äskettäin muuttuneista tiedostoista on siinä järkevä alku, mutta ei korvaa asiantuntijoiden tekemää tarkistusta.
Mitä teidän kannattaa lähettää meille
- tiedoston polku ja nimi, mieluiten kopiona aikaleimoineen (toimitustavasta sovimme)
- otteet käyttölokeista kyseisen tiedoston ympäriltä, jos teillä on pääsy
- palvelintyyppi, hosting-yritys, PHP-versio ja ajotapa, jos tiedossa
- mitä verkkosivustoja ja sovelluksia palvelimella toimii
- milloin viimeksi tehtiin päivityksiä, tiedostolatauksia tai muutoksia
Miksi PHP SOS
Työmme on Saksassa tehtyä (Made in Germany), ja olemme yli 25 vuoden ajan erikoistuneet tietoturvaan kumppaniverkostomme kyberammattilaisten kanssa. Yksi yhteyshenkilö johdattaa teidät tapauksen läpi. Työskentelemme etänä ilman matkustamista kaikkialla Saksassa ja Euroopassa, dokumentoimme jokaisen vaiheen emmekä anna lupauksia, joita kukaan ei voi pitää. Pysymme mukana, kunnes tapaus on käsitelty loppuun ja dokumentoitu.
Koskeeko tämä teitä? Soittakaa. Autamme.
Löydetty web shell on varoitusmerkki, joka kannattaa ottaa vakavasti. Ottakaa yhteyttä nyt, puhelimitse tai WhatsAppilla, niin otamme tilanteen hoitoon ensimmäisestä viestistä alkaen. Ilmoittakaa hätätilanne nyt
Usein kysytyt kysymykset
Löysin web shellin. Saanko vain poistaa tiedoston?
Älkää tehkö sitä ensimmäisenä. Tiedosto kertoo, milloin ja millä keinoin hyökkääjä tuli. Varmistakaa se ensin aikaleimoineen ja omistajatietoineen, sitten se poistetaan kohdennetusti. Se, joka vain poistaa, jättää yleensä muita pääsyoikeuksia jäljelle.
Pitäisikö epäilyttävä tiedosto avata selaimessa nähdäkseen, mitä se tekee?
Ei. Avaaminen voi suorittaa haittakoodin ja hävittää lisää jälkiä. Tarkistakaa tiedosto vain lukemalla ja mieluiten kopiosta.
Riittääkö haittaohjelmaskanneri löytämään kaikki web shellit?
Ei luotettavasti. Skannerit tunnistavat tunnetut kaavat, mutta hämärretyt tai uudelleen rakennetut web shellit livahtavat ohi. Puhdas skannaus ei todista, ettei mitään ole enää jäljellä.
Mistä tiedän, kuinka kauan web shell on ollut palvelimella?
Vihjeitä antavat muutospäivämäärä, käyttö- ja virhelokit sekä vertailut muihin uusiin tiedostoihin. Aikaleimat voi kuitenkin väärentää. Siksi arvioimme useita lähteitä ja merkitsemme, mikä on todennettua ja mikä olettamusta.
Onko löydöstä ilmoitettava?
Heti kun henkilötiedot voivat olla vaarantuneet, ilmoitus valvontaviranomaiselle voi olla tarpeen. Siitä neuvovat tietosuojavastaavat tai lakimiehet; me toimitamme tekniset tosiasiat.