webshell后门怎么处理

昨天半夜接到一个朋友的后门电话，说公司官网被人挂了黑链，处理后台管理密码怎么都登不进去。后门我远程一看，处理好家伙，后门网站目录里躺着一个叫upload.php的处理文件，创建时间正好是后门上周五——那天他们运维刚好改过上传组件。这就是处理典型的webshell后门，攻击者早就在你服务器里安了家，后门只是处理你没发现。

处理webshell不是后门删个文件那么简单。你得先搞清楚：它是处理怎么进来的？进来之后干了什么？还有没有备份的隐蔽后门？我见过太多人删完一个马就以为安全了，结果第二天又冒出来三个——因为攻击者留了后手，后门比如在正常PHP文件里塞了一段加密代码，处理或者写了个计划任务定时重新上传。后门

第一步，隔离。别急着删，先把服务器从公网断开，或者至少把受影响站点单独隔离开来。这一步很多人会忽略，但它是防止攻击者继续操作的关键。你一边删马一边看着攻击者实时改回去，那画面太美不敢看。用netstat查一下当前活跃连接，把可疑IP记下来，这些是取证材料。

第二步，找全。别只查web目录，tmp目录、上传目录、日志目录、甚至系统临时文件夹都要翻一遍。webshell文件名五花八门，有的伪装成图片（.jpg里嵌PHP代码），有的用随机字符串命名，有的藏在压缩包里。用特征扫描工具跑一遍，比如find /var/www -name "*.php" -mtime -30，再配合在线查杀平台比对哈希值。我习惯手工翻一遍最近修改的文件，因为有些变种工具查不出来。

第三步，溯源。这是最费劲但最重要的一步。翻web日志，找上传行为、异常POST请求、可疑的User-Agent。我上次处理一个案例，攻击者是通过一个旧版编辑器的文件上传漏洞进来的，那个漏洞在官方补丁里修了半年，但客户一直没更新。日志里清清楚楚记录着上传时间、IP、甚至攻击者当时用的浏览器版本。别嫌日志大，关键时刻能救命。

清理完文件后，改所有密码——数据库、FTP、SSH、后台管理，一个都别漏。攻击者可能已经拿到你的数据库备份，改了密码能阻止他用旧凭证继续登录。再检查系统用户列表，看有没有新增的账号，/etc/passwd里多出的uid 0用户绝对是炸弹。计划任务也要看，crontab -l和/etc/cron.*目录都别放过。

最后说点实在的。webshell清理不是一次性工作，处理完要持续监控至少两周。我建议装个文件完整性监控工具，比如Tripwire或者简单的inotifywait脚本，任何新增或修改的PHP文件都能实时告警。还有，别把webshell处理当成运维的活——这其实是安全意识的检验。你的开发团队有没有在代码里留后门测试接口？你的服务器是不是还在用默认密码？这些才是根子上的问题。

朋友那家公司最后查出来，是半年前离职的一个外包开发留的“方便之门”。你说这算不算内鬼？反正从那以后，他公司所有代码上线前必须过一遍安全扫描。防webshell最好的办法不是处理，是让它进不来——但万一进来了，记住我今天说的流程，冷静处理，别慌。