Röviden: A webshell egy kis fájl, amelyen keresztül egy idegen távirányíthatja a szerverét. Aki talált egyet, nagyon valószínű, hogy érintett, és azonnal jelentkeznie kell. Ne törölje, ne hívja meg, először mentse. Távolról tisztázzuk, hogyan került a szerverre, vannak-e további hozzáférések, és megtisztítjuk a szervert.
Most ne töröljön semmit, és ne telepítsen újra semmit. Maga a webshell is egyelőre ott marad, hogy menteni lehessen. Érintett? Hívjon minket, vagy írjon WhatsAppon, esetleg jelentse a leletet a Vészhelyzet bejelentése oldalon.
Webshellt talált: mit jelent ez?
A webshell egy PHP-szkript (vagy egy másik szerveroldali nyelven írt szkript), amely kívülről fogad parancsokat. Ezzel a támadók fájlokat olvashatnak, adatokat tölthetnek le, kártékony kódot tölthetnek utána, és további rendszereket érhetnek el. A fájl ezért ritkán a támadás célja. Ez az a hátsó ajtó, amelyet egy betörő hagy maga után, hogy visszatérhessen.
Ennek két következménye van. Először: valakinek már volt írási hozzáférése a szerveréhez, vagy kódot tudott futtatni. Másodszor: a megtalált fájl valószínűleg nem az egyetlen. Ehhez jön, amit gyakran nem tudni: mióta van ott, és mit tettek vele közben?
Miből ismeri fel a webshellt
- egy PHP-fájl olyan mappában, ahol nem szabadna lennie, például feltöltések, gyorsítótár, képek vagy ideiglenes könyvtárak
- fájlnevek, amelyek rendszerfájloknak látszanak, de nem tartoznak az Ön szoftveréhez, vagy kettős kiterjesztésű nevek
- olvashatatlan kód hosszú karakterláncokkal, kódolással és parancsok végrehajtására szolgáló függvényekkel, lásd Elfedett PHP-kód felismerése
- egy módosítási dátum, amely nem illik az Ön frissítéseihez
- hozzáférések erre a fájlra a naplókban, gyakran idegen címekről és POST-kérésekkel
- shellt indító webszerver-folyamatok, ahogy a Figyelmeztető jel: a webszerver shellt indít oldalon le van írva
A lelőhelyek helyes értelmezését a PHP-fájlok a feltöltési mappában oldal tartalmazza, részletesen pedig a Webshellek felismerése és eltávolítása.
Mit tegyen azonnal
- Ne hívja meg és ne futtassa a fájlt. Ne végezzen teszteket a böngészőben.
- Ne törölje és ne helyezze át. Ne változtassa meg se a tartalmat, se az időbélyegeket.
- Jegyezze fel: a teljes útvonalat, a fájlnevet, a lelet időpontját, ki fedezte fel, és mivel.
- Mentse a fájlt és a metaadatait: Egy másolatot tulajdonossal, jogokkal és időbélyegekkel. Olvasó ellenőrző parancsok elegendők, például:
bash
stat /pfad/zur/datei.php
sha256sum /pfad/zur/datei.php
- Őrizze meg a naplókat: A webszerver és a PHP hozzáférési és hibanaplóit ne hagyja felülírni. A szakmai sajtó azt javasolja, hogy a szervernaplókat 2026. október 20-tól őrizzék meg.
- Szükség esetén zárja el a szervert: Ha azt gyanítja, hogy adatok szivárognak ki, vegye le az oldalt a hálózatról. Hogyan őrizheti meg közben a bizonyítékokat, azt a Őrizze meg a bizonyítékokat az újratelepítés előtt írja le.
- Tájékoztasson minket, mielőtt jelszavakat módosítanak vagy fájlokat tisztítanak.
Hogyan segít konkrétan a PHP SOS?
- Helyzetfelmérés: Mit találtak, hol, mikor és kik? Mely rendszerek vannak ugyanazon a szerveren?
- Mentés és lezárás: Mentjük a leletet, a fájlokat, az adatbázist és a naplókat, és letiltjuk a gyanúsnak tűnő hozzáféréseket.
- Vizsgálat és tisztítás: További webshelleket, módosított magfájlokat, rejtett cron-feladatokat, idegen rendszergazdai fiókokat és ismeretlen SSH-kulcsokat keresünk, és eltávolítjuk őket. Az eljárás a Kártevők és webshellek eltávolítása szolgáltatásnak felel meg.
- Keményítés és jelentés: Megnevezzük a valószínű bejutási pontot, lezárjuk, és biztosítjuk a szervert. Dokumentációt kap leletekkel és idővonallal.
Hogyan került a webshell a szerverre?
Tipikus utak az elavult bővítmények vagy kiegészítők, a nem biztonságos fájlfeltöltések, az ellopott hozzáférési adatok és a szerver szoftverének résein át. A PHP2Shell közzététele óta egy további lehetőség is van: a 8.5.12, 8.4.27, 8.3.36 vagy 8.2.35 javításai nélküli PHP távolról visszaélhető kód végrehajtására. Megerősített Indicators of Compromise nincsenek hozzá, a felismerés viselkedésen alapul. Hogy Önnél a bejutás a PHP2Shellen vagy más úton történt-e, az csak a nyomokból vezethető le, és jelöljük, mi bizonyított, és mi feltételezés. Hogyan segítenek ebben a naplók, azt a Webszerver-naplók értékelése mutatja.
A javítás nem távolít el egy meglévő webshellt. A jövőbeli leletek elleni védelem is hozzátartozik: a PHP-végrehajtás tiltása a feltöltési mappákban sok esetet megakadályoz. Gondoljon a kártevőkeresők korlátaira is: egy lelet nélküli vizsgálat nem jelent feloldó jelzést.
Ha tudnia kell, mi történt pontosan, például a biztosító vagy a hatóságok miatt, az IT-forenzika lehet értelmes.
És ha a webshell a törlés után visszatér?
Ez gyakran megesik, és többnyire két oka van. Vagy van legalább még egy hátsó ajtó, amely újra létrehozza a leletet, vagy a bejárat továbbra is nyitva van, és a támadó egyszerűen újra bejön. Egyiket sem oldja meg az ismételt törlés. Ezért a változtatások összességét keressük: új és módosított fájlokat, bejegyzéseket az adatbázisban és a konfigurációban, ütemezett feladatokat, fiókokat. A nemrég módosított fájlok listája ehhez értelmes kezdet, de nem helyettesíti a szakemberek általi vizsgálatot.
Mit érdemes elküldenie nekünk
- a fájl útvonala és neve, lehetőleg másolatként időbélyegekkel (az átadás módját egyeztetjük)
- részletek a hozzáférési naplókból e fájl körül, ha van hozzáférése
- a szerver típusa, tárhelyszolgáltató, PHP-verzió és üzemmód, ha ismert
- mely weboldalak és alkalmazások futnak a szerveren
- mikor voltak utoljára frissítések, feltöltések vagy módosítások
Miért a PHP SOS
A munkánk Made in Germany, és a kiberbiztonsági szakemberekből álló partnerhálózatunkkal több mint 25 éve az informatikai biztonságra szakosodtunk. Egy kapcsolattartó vezeti végig az incidensen. Távolról dolgozunk kiszállás nélkül egész Németországban és Európában, minden lépést dokumentálunk, és nem teszünk olyan ígéreteket, amelyeket senki sem tarthat be. Addig maradunk, amíg az incidens le nem zárul, és dokumentált nem lesz.
Érintett? Hívjon minket. Segítünk.
Egy megtalált webshell figyelmeztető jel, amelyet komolyan kell vennie. Jelentkezzen most, telefonon vagy WhatsAppon, és az első üzenettől átvesszük az ügyet. Vészhelyzet bejelentése most
Gyakori kérdések
Webshellt találtam. Egyszerűen törölhetem a fájlt?
Kérem, ne elsőként. A fájl megmutatja, mikor és mivel jött a támadó. Először mentse időbélyegekkel és tulajdonossal együtt, aztán célzottan eltávolítják. Aki csak töröl, az többnyire további hozzáféréseket hagy maga mögött.
Meghívjam a gyanús fájlt a böngészőben, hogy lássam, mit csinál?
Nem. A meghívás végrehajthatja a kártékony kódot, és további nyomokat moshat el. A fájlt csak olvasva vizsgálja, lehetőleg egy másolaton.
Elég egy kártevőkereső, hogy megtalálja az összes webshellt?
Nem megbízhatóan. A keresők az ismert mintákat ismerik fel, de az elfedett vagy újonnan épített webshellek elkerülik őket. Egy tiszta vizsgálat nem bizonyítja, hogy nincs már semmi.
Honnan tudom, mióta van a webshell a szerveren?
Támpontot adnak a módosítás dátuma, a hozzáférési és hibanaplók, valamint az összehasonlítás más új fájlokkal. Az időbélyegek azonban hamisíthatók. Ezért több forrást értékelünk, és jelöljük, mi bizonyított, és mi feltételezés.
Be kell jelentenem a leletet?
Amint személyes adatok is érintettek lehetnek, a felügyeleti hatóságnak szóló bejelentés szükségessé válhat. Ebben az adatvédelmi felelősök vagy ügyvédek tanácsolnak; mi a műszaki tényeket szolgáltatjuk.