# Webshell atrasta? Kā tagad pareizi rīkoties

> Atradāt webshell vai aizdomīgu PHP failu? Neizdzēsiet, vispirms saglabājiet. Mēs noskaidrojam apjomu un ieejas punktu. Zvaniet vai rakstiet WhatsApp.

Avots: https://phpsos.de/lv/soforthilfe/webshell-gefunden/  
Aktuāls uz: 25.10.2026  
Pakalpojuma sniedzējs: PHP SOS, PHP ārkārtas palīdzība un serveru drošība. Tūlītēja palīdzība pa WhatsApp: https://wa.me/491736494914?text=Sveiki%2C%20PHP%20SOS%2C%20mums%20nepiecie%C5%A1ama%20pal%C4%ABdz%C4%ABba%20ar%20m%C5%ABsu%20PHP%20serveri.%20Uz%C5%86%C4%93mums%3A%20%E2%80%A6%20Vietne%3A%20%E2%80%A6

**Īsi:** webshell ir neliels fails, ar kura palīdzību svešinieks var attālināti vadīt jūsu serveri. Kas to ir atradis, ļoti iespējams, ir skarts un tūlīt jāsazinās ar mums. Neizdzēst, neatvērt, vispirms saglabāt. Mēs attālināti noskaidrojam, kā tā nonāca serverī un vai ir citas piekļuves, un attīrām serveri.

> **Rīkoties nekavējoties:**
> **Tagad neko neizdzēsiet un neuzstādiet no jauna.** Arī pati webshell vispirms paliek vietā, lai to varētu saglabāt. Vai esat skarti? Zvaniet vai rakstiet WhatsApp, vai pieteiciet atradumu ar [Pieteikt ārkārtas gadījumu](https://phpsos.de/lv/notfall/).

## Esat atraduši webshell: ko tas nozīmē?

Webshell ir PHP skripts (vai skripts citā servera valodā), kas pieņem komandas no ārpuses. Ar to uzbrucēji var nolasīt failus, lejupielādēt datus, ielādēt ļaunprātīgu kodu un aizsniegt citas sistēmas. Tāpēc fails reti ir uzbrukuma mērķis. Tās ir slēptās durvis, ko ielauzējs atstāj, lai atgrieztos.

Tam ir divas sekas. Pirmkārt: kādam jau bija rakstīšanas piekļuve jūsu serverim vai viņš varēja izpildīt kodu. Otrkārt: atrastais fails, iespējams, nav vienīgais. Turklāt bieži nav zināms, kopš kura laika tas tur atrodas un ko pa to laiku ar to darīts.

## Kā atpazīt webshell

- PHP fails direktorijā, kurā tādam nevajadzētu būt, piemēram, augšupielādēs, kešatmiņā, attēlos vai pagaidu direktorijos
- faila nosaukumi, kas izskatās kā sistēmas faili, bet nepieder jūsu programmatūrai, vai nosaukumi ar dubultu paplašinājumu
- nesalasāms kods ar garām rakstzīmju virknēm, kodējumu un funkcijām komandu izpildei, skatiet [Apmaskota PHP koda atpazīšana](https://phpsos.de/lv/blog/verschleierter-php-code/)
- izmaiņu datums, kas neatbilst jūsu atjauninājumiem
- piekļuves šim failam žurnālos, bieži no svešām adresēm un ar POST pieprasījumiem
- tīmekļa servera procesi, kas startē shell, kā aprakstīts lapā [Brīdinājuma zīme: tīmekļa serveris startē shell](https://phpsos.de/lv/blog/webserver-startet-shell/)

Kā atradumu vietas pareizi izprast, ir lapā [PHP faili augšupielāžu mapē](https://phpsos.de/lv/blog/php-dateien-im-upload-ordner/) un plaši lapā [Webshell atpazīšana un noņemšana](https://phpsos.de/lv/ratgeber/webshell-erkennen/).

## Ko darīt tūlīt

1. **Neatvērt failu un neizpildīt.** Nekādu testu pārlūkprogrammā.
2. **Neizdzēst un nepārvietot.** Nemainiet ne saturu, ne laika zīmogus.
3. **Pierakstīt:** pilns ceļš, faila nosaukums, atrašanas laiks, kas to atklāja un ar ko.
4. **Saglabāt failu un metadatus:** kopija ar īpašnieku, tiesībām un laika zīmogiem. Pietiek ar lasīšanas pārbaudes komandām, piemēram:

   ```bash
   stat /pfad/zur/datei.php
   sha256sum /pfad/zur/datei.php
   ```

5. **Saglabāt žurnālus:** neļaut pārrakstīt tīmekļa servera un PHP piekļuves un kļūdu žurnālus. Speciālistu prese iesaka saglabāt servera žurnālus no 2026. gada 20. oktobra.
6. **Vajadzības gadījumā norobežot serveri:** ja pieļaujat, ka dati aizplūst, atvienojiet lapu no tīkla. Kā pie tam saglabāt pierādījumus, apraksta [Pierādījumu saglabāšana pirms pārinstalēšanas](https://phpsos.de/lv/blog/beweise-sichern-vor-neuinstallation/).
7. **Informēt mūs,** pirms tiek mainītas paroles vai attīrīti faili.

## Kā PHP SOS palīdz konkrēti?

1. **Situācijas attēls:** Kas tika atrasts, kur, kad un kas to atrada? Kuras sistēmas atrodas tajā pašā serverī?
2. **Saglabāt un aizvērt:** Mēs saglabājam atradumu, failus, datubāzi un žurnālus un bloķējam piekļuves, kas šķiet aizdomīgas.
3. **Pārbaudīt un attīrīt:** Mēs meklējam citas webshell, mainītus kodola failus, [slēptus cron uzdevumus](https://phpsos.de/lv/blog/cronjobs-als-hintertuer/), svešus administratora kontus un [nezināmas SSH atslēgas](https://phpsos.de/lv/blog/ssh-schluessel-pruefen/) un noņemam tos. Rīcība atbilst pakalpojumam [Ļaunprogrammatūras un webshell noņemšana](https://phpsos.de/lv/leistungen/malware-entfernung/).
4. **Nostiprināt un ziņot:** Mēs nosaucam iespējamo ielaušanās vietu, aizveram to un nodrošinām serveri. Jūs saņemat dokumentāciju ar atradumiem un laika joslu.

## Kā webshell nonāca serverī?

Tipiski ceļi ir novecojuši spraudņi vai paplašinājumi, nedroša failu augšupielāde, nozagti piekļuves dati un ievainojamības servera programmatūrā. Kopš PHP2Shell publicēšanas pievienojas vēl viena iespēja: PHP bez labojumiem no 8.5.12, 8.4.27, 8.3.36 vai 8.2.35 var tikt ļaunprātīgi izmantots koda izpildei no attāluma. Apstiprinātu Indicators of Compromise par to nav, atpazīšana balstās uz uzvedību. Vai ielaušanās pie jums notika caur PHP2Shell vai citādi, var secināt tikai no pēdām, un mēs atzīmējam, kas ir apliecināts un kas ir pieņēmums. Kā tur palīdz žurnāli, parāda [Tīmekļa servera žurnālu izvērtēšana](https://phpsos.de/lv/ratgeber/logfiles-auswerten/).

Ielāps esošu webshell nenoņem. Arī aizsardzība pret turpmākiem atradumiem ir daļa no tā: [PHP izpildes aizliegšana augšupielāžu mapēs](https://phpsos.de/lv/blog/php-in-uploads-verbieten/) novērš daudzus gadījumus. Ņemiet vērā arī [ļaunprogrammatūras skeneru ierobežojumus](https://phpsos.de/lv/blog/grenzen-von-malware-scannern/): skenēšana bez atradumiem nav atbrīvošanas signāls.

Ja jums jāzina, kas tieši ir noticis, piemēram, apdrošinātājam vai iestādēm, noderīga var būt [IT forensika](https://phpsos.de/lv/leistungen/it-forensik/).

## Un ja webshell pēc izdzēšanas atgriežas?

Tas notiek bieži, un parasti ir divi iemesli. Vai nu ir vismaz vēl viena slēpta piekļuve, kas atradumu izveido no jauna, vai ielaušanās vārti joprojām ir atvērti un uzbrucējs vienkārši atgriežas. To neatrisina ar atkārtotu dzēšanu. Tāpēc mēs meklējam visu izmaiņu kopumu: jaunus un mainītus failus, ierakstus datubāzē un konfigurācijā, ieplānotos uzdevumus, kontus. [Nesen mainīto failu saraksts](https://phpsos.de/lv/blog/geaenderte-dateien-finden/) ir saprātīgs sākums, bet speciālistu pārbaudi neaizstāj.

## Ko jums vajadzētu mums nosūtīt

- faila ceļš un nosaukums, pēc iespējas kā kopija ar laika zīmogiem (nodošanas veidu saskaņosim)
- izvilkumi no piekļuves žurnāliem ap šo failu, ja jums ir piekļuve
- servera veids, hostinga sniedzējs, PHP versija un darbības režīms, ja zināms
- kādas vietnes un lietojumprogrammas darbojas serverī
- kad pēdējo reizi notika atjauninājumi, augšupielādes vai izmaiņas

## Kāpēc PHP SOS

Mēs strādājam pēc principa Made in Germany un jau vairāk nekā 25 gadus kopā ar savu kiberspeciālistu partneru tīklu esam specializējušies IT drošībā. Viena kontaktpersona jūs vada cauri incidentam. Mēs strādājam attālināti bez ierašanās visā Vācijā un Eiropā, dokumentējam katru soli un nesniedzam solījumus, ko neviens nevar izpildīt. Mēs paliekam klāt, līdz incidents ir noslēgts un dokumentēts.

## Vai esat skarti? Zvaniet. Mēs palīdzam.

Atrasta webshell ir brīdinājuma zīme, kas jāuztver nopietni. Sazinieties ar mums tagad, zvanot vai rakstot WhatsApp, un mēs uzņemamies darbu no pirmās ziņas. [Pieteikt ārkārtas gadījumu tagad](https://phpsos.de/lv/notfall/)


## Biežāk uzdotie jautājumi

**Esmu atradis webshell. Vai drīkstu failu vienkārši izdzēst?**  
Lūdzu, ne kā pirmo. Fails parāda, kad un ar ko uzbrucējs ir ienācis. Vispirms saglabājiet to kopā ar laika zīmogiem un īpašnieku, pēc tam to mērķtiecīgi noņem. Kas tikai dzēš, parasti atstāj papildu piekļuves.

**Vai aizdomīgo failu man atvērt pārlūkprogrammā, lai redzētu, ko tas dara?**  
Nē. Atvēršana var izpildīt ļaunprātīgo kodu un izdzēst papildu pēdas. Failu pārbaudiet tikai lasīšanas režīmā un vislabāk uz kopijas.

**Vai ar ļaunprogrammatūras skeneri pietiek, lai atrastu visas webshell?**  
Ne droši. Skeneri atpazīst zināmus modeļus, bet apmaskotas vai jaunbūvētas webshell tiem izslīd. Tīra skenēšana nepierāda, ka vairs nekā nav.

**Kā es uzzinu, cik ilgi webshell ir atradusies serverī?**  
Norādes sniedz izmaiņu datums, piekļuves un kļūdu žurnāli un salīdzinājumi ar citiem jauniem failiem. Laika zīmogus tomēr var viltot. Tāpēc mēs vērtējam vairākus avotus un atzīmējam, kas ir apliecināts un kas ir pieņēmums.

**Vai man par atradumu jāziņo?**  
Tiklīdz var būt skarti personas dati, var būt nepieciešams ziņojums uzraudzības iestādei. Par to konsultē datu aizsardzības speciālisti vai advokāti; mēs sniedzam tehniskos faktus.

## Avoti

- [BSI: Vācijas Federālais informācijas drošības birojs](https://www.bsi.bund.de/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)
- [VDAR 33. pants: ziņošana uzraudzības iestādei](https://dsgvo-gesetz.de/art-33-dsgvo/)