Krótko: Webshell to mały plik, przez który obca osoba może zdalnie sterować Państwa serwerem. Kto go znalazł, jest bardzo prawdopodobnie dotknięty i powinien zgłosić się od razu. Nie usuwać, nie otwierać, najpierw zabezpieczyć. Wyjaśniamy zdalnie, jak trafił na serwer, czy istnieją dalsze dostępy, i czyścimy serwer.
Teraz niczego nie usuwać i niczego nie instalować od nowa. Sam webshell także na razie pozostaje na miejscu, aby można go było zabezpieczyć. Czy są Państwo dotknięci? Proszę zadzwonić lub napisać na WhatsApp albo zgłosić znalezisko przez Zgłoś awarię.
Znaleziono webshell: co to oznacza?
Webshell to skrypt PHP (lub skrypt w innym języku serwerowym), który przyjmuje polecenia z zewnątrz. Dzięki niemu atakujący mogą odczytywać pliki, pobierać dane, doładowywać złośliwy kod i docierać do kolejnych systemów. Plik rzadko jest więc celem ataku. To tylne drzwi, które włamywacz zostawia, aby wrócić.
Mają to dwie konsekwencje. Po pierwsze: ktoś miał już dostęp zapisu do Państwa serwera lub mógł wykonywać kod. Po drugie: znaleziony plik prawdopodobnie nie jest jedyny. Dochodzi do tego to, czego często nie wiadomo: od kiedy tam leży i co w międzyczasie z jego pomocą zrobiono?
Po czym poznać webshell
- plik PHP w folderze, w którym nie powinno go być, na przykład w uploadach, pamięci podręcznej, obrazach lub katalogach tymczasowych
- nazwy plików, które wyglądają jak pliki systemowe, ale nie należą do Państwa oprogramowania, albo nazwy z podwójnym rozszerzeniem
- nieczytelny kod z długimi ciągami znaków, kodowaniem i funkcjami do wykonywania poleceń, zob. Rozpoznawanie zaciemnionego kodu PHP
- data modyfikacji, która nie pasuje do Państwa aktualizacji
- dostępy do tego pliku w logach, często z obcych adresów i żądaniami POST
- procesy serwera WWW uruchamiające powłokę, jak opisano w artykule Sygnał ostrzegawczy: serwer WWW uruchamia powłokę
Jak prawidłowo interpretować znaleziska, opisuje artykuł Pliki PHP w folderze uploadu, a szczegółowo Rozpoznawanie i usuwanie webshelli.
Co należy zrobić teraz
- Nie otwierać pliku i nie uruchamiać go. Bez testów w przeglądarce.
- Nie usuwać i nie przenosić. Nie zmieniać ani zawartości, ani znaczników czasu.
- Zanotować: pełną ścieżkę, nazwę pliku, czas znalezienia, kto go odkrył i czym.
- Zabezpieczyć plik i metadane: kopię z właścicielem, uprawnieniami i znacznikami czasu. Wystarczą polecenia tylko do odczytu, na przykład:
bash
stat /pfad/zur/datei.php
sha256sum /pfad/zur/datei.php
- Zachować logi: nie pozwolić na nadpisanie dzienników dostępu i błędów serwera WWW i PHP. Prasa branżowa zaleca przechowywanie logów serwera od 20.10.2026.
- W razie potrzeby odizolować serwer: jeśli podejrzewają Państwo, że dane wypływają, proszę odłączyć stronę od sieci. Jak przy tym zachować dowody, opisuje artykuł Zabezpieczyć dowody przed ponowną instalacją.
- Poinformować nas, zanim zmienione zostaną hasła lub oczyszczone pliki.
Jak PHP SOS pomaga w praktyce?
- Ocena sytuacji: Co znaleziono, gdzie, kiedy i przez kogo? Jakie systemy znajdują się na tym samym serwerze?
- Zabezpieczenie i zamknięcie: Zabezpieczamy znalezisko, pliki, bazę danych i logi oraz blokujemy dostępy, które wyglądają podejrzanie.
- Sprawdzenie i oczyszczenie: Szukamy dalszych webshelli, zmienionych plików rdzenia, ukrytych zadań cron, obcych kont administratorów i nieznanych kluczy SSH i je usuwamy. Postępowanie odpowiada usłudze Usuwanie malware i webshelli.
- Wzmocnienie i raport: Wskazujemy prawdopodobny punkt wejścia, zamykamy go i zabezpieczamy serwer. Otrzymują Państwo dokumentację ze znaleziskami i osią czasu.
Jak webshell trafił na serwer?
Typowe drogi to przestarzałe wtyczki lub rozszerzenia, niebezpieczne uploady plików, skradzione dane dostępowe i luki w oprogramowaniu serwera. Od czasu opublikowania PHP2Shell dochodzi kolejna możliwość: PHP bez poprawek z wersji 8.5.12, 8.4.27, 8.3.36 lub 8.2.35 może zostać zdalnie wykorzystane do wykonania kodu. Potwierdzone wskaźniki naruszenia (Indicators of Compromise) w tej sprawie nie istnieją, wykrywanie opiera się na zachowaniu. To, czy wejście u Państwa nastąpiło przez PHP2Shell, czy inną drogą, można wywnioskować wyłącznie ze śladów, a my zaznaczamy, co jest udowodnione, a co przypuszczeniem. Jak pomagają w tym logi, pokazuje artykuł Analiza logów serwera WWW.
Poprawka nie usuwa przy tym istniejącego webshella. Do tego należy także ochrona przed przyszłymi znaleziskami: zakaz wykonywania PHP w folderach uploadu zapobiega wielu przypadkom. Proszę też pamiętać o granicach skanerów malware: skanowanie bez znaleziska nie jest sygnałem odwołania alarmu.
Jeśli muszą Państwo wiedzieć, co dokładnie się stało, na przykład dla ubezpieczyciela lub urzędów, sensowna może być informatyka śledcza.
A jeśli webshell wraca po usunięciu?
Zdarza się to często i ma zwykle dwie przyczyny. Albo istnieje co najmniej jedna dalsza tylna furtka, która tworzy znalezisko na nowo, albo punkt wejścia jest nadal otwarty i atakujący po prostu wraca. Żadnego z tych przypadków nie rozwiąże wielokrotne usuwanie. Dlatego szukamy całości zmian: nowych i zmienionych plików, wpisów w bazie danych i konfiguracji, zaplanowanych zadań, kont. Lista ostatnio zmienionych plików jest sensownym początkiem, ale nie zastępuje sprawdzenia przez specjalistów.
Co warto nam przesłać
- ścieżkę i nazwę pliku, najlepiej jako kopię ze znacznikami czasu (drogę przekazania uzgodnimy)
- fragmenty logów dostępu z okolic tego pliku, jeśli mają Państwo dostęp
- rodzaj serwera, hostingodawcę, wersję PHP i tryb pracy, jeśli znane
- jakie strony i aplikacje działają na serwerze
- kiedy ostatnio odbyły się aktualizacje, uploady lub zmiany
Dlaczego PHP SOS
Pracujemy w standardzie Made in Germany i od ponad 25 lat specjalizujemy się w bezpieczeństwie IT wraz z naszą siecią partnerów złożoną z ekspertów od cyberbezpieczeństwa. Jedna osoba kontaktowa prowadzi Państwa przez incydent. Pracujemy zdalnie, bez dojazdu, w całych Niemczech i w Europie, dokumentujemy każdy krok i nie składamy obietnic, których nikt nie może dotrzymać. Zostajemy przy sprawie, aż incydent zostanie zakończony i udokumentowany.
Czy są Państwo dotknięci? Proszę zadzwonić. Pomożemy.
Znaleziony webshell to sygnał ostrzegawczy, który należy potraktować poważnie. Proszę zgłosić się teraz, telefonicznie lub przez WhatsApp, a przejmiemy sprawę od pierwszej wiadomości. Zgłoś awarię teraz
Częste pytania
Znalazłem webshell. Czy mogę po prostu usunąć plik?
Proszę nie robić tego jako pierwszego kroku. Plik pokazuje, kiedy i czym posłużył się atakujący. Proszę go najpierw zabezpieczyć wraz ze znacznikami czasu i właścicielem, a potem zostanie usunięty w sposób celowy. Kto tylko usuwa, zwykle zostawia dalsze dostępy.
Czy mam otworzyć podejrzany plik w przeglądarce, żeby zobaczyć, co robi?
Nie. Otwarcie może uruchomić złośliwy kod i zatrzeć kolejne ślady. Plik proszę sprawdzać wyłącznie w trybie odczytu i najlepiej na kopii.
Czy skaner malware wystarczy, aby znaleźć wszystkie webshelle?
Nie w sposób niezawodny. Skanery rozpoznają znane wzorce, ale zaciemnione lub nowo zbudowane webshelle im umykają. Czysty wynik skanowania nie dowodzi, że niczego już nie ma.
Skąd wiem, jak długo webshell leży na serwerze?
Wskazówki dają data modyfikacji, logi dostępu i błędów oraz porównania z innymi nowymi plikami. Znaczniki czasu można jednak fałszować. Dlatego oceniamy kilka źródeł i zaznaczamy, co jest udowodnione, a co przypuszczeniem.
Czy muszę zgłosić znalezisko?
Jeżeli mogły zostać dotknięte dane osobowe, zgłoszenie do organu nadzorczego może być konieczne. Doradzają w tym inspektorzy ochrony danych lub prawnicy; my dostarczamy fakty techniczne.