🛠️Kỹ năng thực chiến · SOC / Ứng cứu sự cố · Nâng cao✔ Biên soạn từ tài liệu chính thống
Kỹ năng phát hiện và xử lý webshell trên máy chủ web
Săn webshell bằng cách đối chiếu tệp mới/bị sửa trong thư mục web, mẫu hàm nguy hiểm, nhật ký truy cập và cây tiến trình của máy chủ web; sau đó bảo toàn chứng cứ và vá điểm xâm nhập.
10
Bước thực hiện
3
Bước bắt buộc
8
Lệnh 1-click
3
Nguồn trích dẫn
~60
Phút thực hiện
Cập nhật 13/11/2026•16 lượt xem
Khi nào áp dụng: Khi máy chủ web có lỗ hổng tải tệp/RCE vừa công bố, có tiến trình shell sinh ra từ nginx/apache/php-fpm/w3wp, hoặc lưu lượng POST bất thường tới tệp lạ.
1Săn tìm trên hệ thống tệp
0/4sudo find /var/www -type f \( -name '*.php' -o -name '*.jsp' -o -name '*.phtml' \) -mtime -7 -lssudo grep -RIlE 'eval\(|base64_decode\(|assert\(|shell_exec\(|passthru\(|system\(' /var/www --include=*.phpgit -C /var/www/app status --porcelainGet-ChildItem C:\inetpub\wwwroot -Recurse -Include *.aspx,*.ashx,*.asmx -File | Where-Object {$_.LastWriteTime -gt (Get-Date).AddDays(-7)} | Select-Object FullName,LastWriteTime
2Săn tìm trên nhật ký & tiến trình
0/2grep -E '"POST [^"]+\.(php|aspx|jsp)' /var/log/nginx/access.log | awk '{print $7}' | sort | uniq -c | sort -rn | head -20ps -ef --forest | grep -B1 -A3 -E 'nginx|apache2|httpd|php-fpm'
3Xử lý
0/4sha256sum /path/to/suspicious.php
⚡ Kho lệnh bổ sung
Tệp PHP chứa chuỗi base64 rất dài (dấu hiệu làm rối mã)Linux
sudo grep -RIlE '[A-Za-z0-9+/]{300,}={0,2}' /var/www --include=*.php📚 Nguồn trích dẫn
- [1]NSA & ASD — Detect and Prevent Web Shell Malware (Cybersecurity Information Sheet) ↗
- [2]MITRE ATT&CK — Server Software Component: Web Shell (T1505.003) ↗
- [3]OWASP — File Upload Cheat Sheet ↗