内容摘要：拿到一个webshell，说白了就是拿到了服务器的“后门钥匙”。这事不光彩，但干渗透测试的人天天跟它打交道。 最常见的路子是上传漏洞。我见过一个案例，某政府网站有个图片上传功能，开发人员只检查了文件后

拿到一个webshell，说白了就是拿到了服务器的“后门钥匙”。这事不光彩，但干渗透测试的人天天跟它打交道。

最常见的路子是上传漏洞。我见过一个案例，某政府网站有个图片上传功能，开发人员只检查了文件后缀名，没校验文件内容。攻击者改了个一句话木马，后缀改成.jpg，结果服务器直接给解析执行了。就这么简单。那行代码就写在图片的EXIF信息里，看起来是个正常图片，实际是PHP后门。

另一种典型是SQL注入写文件。MySQL有into outfile功能，如果权限够大，能直接把PHP代码写进网站目录。有个银行内部系统就是这么被攻破的——他们的登录框存在注入点，攻击者用union select拼了一段webshell进去，路径是/user/avatar/xxx.php。整个过程没触发任何告警，因为流量看起来就是普通的查询请求。

还有更隐蔽的。有些CMS的编辑器组件有历史漏洞，比如FCKEditor的文件上传逻辑缺陷，或者KindEditor的目录穿越。攻击者不需要登录后台，直接构造特殊URL就能传shell。前段时间流行的某个OA系统，就是通过其自带的文件管理模块，把jsp木马传到了根目录。这类漏洞利用难度极低，网上都有现成POC脚本。

拿到shell之后，攻击者通常会做三件事：提权、留后门、清日志。但真正高明的不会急着操作，而是先看服务器配置，确认有没有杀软、有没有WAF、是不是内网跳板机。我认识一个老哥，他拿到shell后第一件事是查看hostname和IP段，判断目标价值。如果是个普通虚拟主机，他可能直接放弃，因为不值得花时间。

防御这边，最有效的手段其实是权限最小化。很多被拿shell的服务器，运行权限都是root或Administrator，这等于把大门钥匙交给小偷。把PHP-FPM或Tomcat跑在低权限用户下，即使被上传了木马，也只能访问当前目录，没法动系统文件。另外，禁用危险函数也很关键——eval、system、exec这些，在php.ini里直接disable掉，能挡掉八成一句话木马。

日志监控不能光看访问记录。我见过一个运维，他每天扫一遍/tmp目录，发现可疑的.php文件就删。这招土但管用，因为很多攻击者习惯把临时文件扔在/tmp里。还有就是要留意文件修改时间——如果某个老文件突然更新了，十有八九有问题。

说到底，webshell攻防就是猫鼠游戏。攻击者不断变着法子混淆代码，防御者就得不停更新检测规则。但有一点没变：只要代码执行和文件写入这两个功能存在，漏洞就永远堵不完。与其追求绝对安全，不如把精力花在缩短发现时间上——早一分钟发现，就能少损失一批数据。