webshell违法

2023年，违法某省气象局的违法内网被渗透。攻击者留下的违法不是漏洞，而是违法一个藏在图片上传功能里的JSP小马——就三行代码，能执行系统命令。违法安全团队花了四天溯源，违法最后发现这个webshell在服务器上躺了整整十一个月。违法

这不是违法孤例。我认识一位做应急响应的违法朋友，他经手的违法政府网站入侵案子里，超过七成都有webshell痕迹。违法这东西像万能钥匙，违法只要落进服务器，违法就等于把整台机器的违法控制权交了出去。可偏偏有人觉得，违法写个webshell不算什么大事。

真不算大事吗？刑法第285条写得明明白白——提供专门用于侵入、非法控制计算机信息系统的程序、工具，情节严重的，处三年以下有期徒刑或者拘役。别以为这只是针对黑客工具的制造者。你写一个webshell，哪怕只是自娱自乐，只要被用于非法入侵，同样可能被认定为"提供非法程序工具罪"。

有人会狡辩："我就写个测试脚本，又没真拿去攻击。"这话听着耳熟，跟"我就研究一下枪支结构"差不多。现实是，你发布在GitHub上的webshell代码，可能被任何人下载使用。2021年，某安全论坛版主上传了自写的免杀webshell，结果被用于攻击某市社保系统。法院判决时，公诉人出示的证据里，赫然有他发帖时那句"仅供学习，请勿用于非法用途"——但没用，照样判了。

判得重吗？我反倒觉得，有些案子判轻了。去年破获的一起案件中，一个刚毕业的年轻人写了十几个webshell挂在网上，标价五十到两百块不等。他觉得自己只是"卖工具"，但买家用这些工具拿下了某医院的内网，导致数千份患者病历泄露。年轻人最终获刑两年，可那些病历泄露的后果，谁来承担？

别拿"技术中立"当挡箭牌。菜刀也能伤人，但菜刀的设计初衷是切菜。webshell的设计初衷就是远程控制，这种控制能力一旦被滥用，危害性远超普通工具。我见过最讽刺的案例：某个自称"白帽黑客"的人，在漏洞报告平台提交了某国企网站的webshell漏洞，转头却用同一个webshell去下载了数据库里的员工通讯录——就为了证明"漏洞真实存在"。结果呢？侵犯公民个人信息罪，判了。

技术本身没有善恶，但使用技术的人有。你写代码时心里清楚，这玩意儿是拿去当钥匙用，还是当撬棍用。法律不惩罚代码，但惩罚行为。那些觉得"写个webshell没什么"的人，不妨想想：如果有一天，你的银行账户因为别人写的一个webshell被清空，你还会觉得这只是"技术研究"吗？

说到底，webshell就像一把没有保险栓的手枪。你可以说它只是金属和弹簧的组合，但当它被扣动扳机时，子弹不会管你是故意还是失误。法律要管的，就是那个扣扳机的人——以及那个明知会杀人，却坚持造枪的人。

(责任编辑：休闲)