Webshell完全

凌晨三点，完全某金融公司的完全安全工程师老张盯着终端上的告警日志，后背发凉。完全一个名为logo.png的完全文件，在服务器上被修改了三次，完全每次间隔四十七秒。完全他敲下cat logo.png，完全输出的完全是base64编码的PHP代码。这就是完全webshell——攻击者留下的后门，伪装成图片，完全潜伏在无数台服务器里。完全

webshell本质就是完全一个网页文件，它不区分语言，完全PHP、完全ASP、完全JSP甚至Python都能当宿主。攻击者把它上传到目标服务器，通过浏览器访问，就能获得一个命令行环境。你可以把它想成是给服务器装了个远程遥控器，只不过这个遥控器在黑客手里。最讽刺的是，这个遥控器的功能往往比管理员自己用的还全——执行系统命令、读取数据库、上传下载文件、提权、内网扫描，一应俱全。

我见过最狠的一个案例，是某电商平台的运维把备份脚本写在了web目录下，文件名是backup.sh.bak。攻击者直接把这个文件改成backup.php，加了两行代码，整个数据库的备份文件就被定时发送到境外服务器。整个过程持续了四个月，直到某次流量审计才发现异常。你看，webshell不一定要多复杂，有时候就是利用了管理员的懒惰。

检测webshell的思路其实就两条路：静态特征和动态行为。静态特征查的是文件内容里有没有危险函数，比如eval、system、exec这类。但现在的webshell都学会了混淆，把字符串拆成一段段，用chr()拼接，或者用自定义函数包装。我见过一个样本，把危险函数名用十六进制编码后藏在注释里，运行时再解码调用。这种光靠正则匹配基本没用。

动态检测就更靠谱些。监控文件在运行时的行为——谁访问了它、访问后执行了什么系统命令、有没有对外发起网络连接。比如一个正常的图片文件，不应该有进程去调用/bin/sh。安全团队会在服务器上装agent，记录每个文件被请求时的系统调用。这条路也有挑战，攻击者会用内存马——不落盘，直接把恶意代码注入到运行中的Java进程里，磁盘上干干净净，你连文件都找不到。

防御webshell，我的个人经验是别迷信什么万能药。WAF能拦一部分，但总有绕过。文件完整性监控有用，但得先保证基线是干净的。最实在的做法是权限收敛——web目录只给写权限不给执行权限，或者反过来，用容器隔离运行环境。再配合日志审计，至少能在事后知道对方进来过。

说到底，webshell是个攻防博弈的缩影。攻击者不断变形，防御者就得不断升级认知。别指望一套规则吃一辈子，也别觉得装了某个安全软件就万事大吉。我见过太多公司，买了几百万的安全设备，结果webshell就藏在他们的备份脚本里，安安静静地躺了半年。技术这东西，永远是道高一尺魔高一丈，但至少你得先知道魔在哪。