怎么webshell

拿到一个webshell，第一件事不是弹计算器，是看自己怎么进来的。我见过太多人，上传个马就急着翻数据库，结果流量被盯上，半小时后连服务器带域名全没了。

入口决定生死

文件上传漏洞最经典，但别只盯着上传框。编辑器漏洞、备份文件泄露、git源码泄露，甚至一个能写文件的SQL注入，都能变成shell。上周帮朋友排查，发现是thinkphp的缓存文件被写入了PHP代码——连上传点都没有。

菜刀和蚁剑的流量特征太明显。安全设备扫一眼就知道你在连马。用冰蝎或者哥斯拉，至少流量是加密的。但更稳的做法是：把shell写成图片马，用包含函数去触发，连接时伪装成正常图片请求。

别一上来就加系统用户，那是自杀。先看当前权限，如果是www-data，就去找站点的配置文件，数据库密码、redis密码、甚至oss的key都可能在里面。拿到这些，比死磕提权划算得多。

很多人直接删access.log，这等于告诉管理员“我被打了”。正确操作是只删自己那几行，或者干脆把日志文件的时间戳改回去。如果目标有auditd，那麻烦点，得先停服务再改文件，最后恢复服务——顺序错了就白干。

曾经有个案例，攻击者拿到shell后把数据库全删了，结果管理员直接报警，通过云主机快照和登录日志，三天就定位到人。你留个后门就好，别动业务数据。真要证明能力，截个图就够了。

上传的shell文件，名字别太显眼。1.php这种必死，改成logo.png.php或者干脆用.htaccess配合，把后缀伪装起来。文件时间戳也要改成和同目录其他文件一致。最后，记得把上传时的临时文件清掉，有时候漏洞利用工具会留下痕迹。

多数webshell活不过三天，不是因为技术不行，是操作的人太贪。频繁的连接、大流量的数据传输、异常的执行行为，任何一个都能暴露你。真正的高手，把shell当成一个后备箱，平时不碰，关键时刻才用一次。所以，与其问怎么webshell，不如问怎么控制自己的手。少操作，多观察，比什么加密都管用。