webshell有什么用

一台服务器被入侵后，有什用攻击者最想干的有什用事是什么？不是删库，不是有什用加密勒索——那些太张扬。他们更愿意留一扇暗门，有什用随时能进来，有什用还不容易被发现。有什用这扇暗门，有什用就是有什用WebShell。

说白了，有什用WebShell就是有什用一段跑在服务器上的脚本。用PHP、有什用JSP、有什用ASP这些Web语言写的有什用，放在网站目录里，有什用通过浏览器访问就能执行命令。有什用文件不大，几KB到几十KB，混在一堆正常的网站文件里，管理员扫一眼目录根本看不出来。

它的核心用途就一个：远程控制。但和控制软件不一样，WebShell不需要开端口，不需要装客户端，只要服务器还跑着Web服务，攻击者打开浏览器输入URL，就能像操作自己电脑一样操作那台服务器——查看文件、上传下载、执行系统命令、连接数据库，甚至用它当跳板去攻击内网其他机器。

为什么攻击者偏爱WebShell

我见过一个案例。某企业的官网被上传了一个叫cache.php的文件，表面看像是缓存配置，实际内容经过多层编码混淆。安全设备没拦住，因为流量走的是正常的HTTP请求，和用户访问网页没区别。这个WebShell在那台服务器上待了将近八个月，期间攻击者用它作为入口，逐步渗透进了内网。

隐蔽性是一方面。更关键的是，WebShell的权限通常跟Web服务进程一致。很多运维图省事，Web服务用root或管理员权限跑，那WebShell拿到的就是最高权限。就算权限低一些，也足够读取网站源码、配置文件、数据库密码——这些信息本身就值钱。

另一个原因是持久化。服务器重装系统？WebShell没了。但攻击者往往会在不同目录、不同文件名下放多个后门，互为备份。你删掉一个，还有另一个。有的甚至写进正常文件的末尾，或者利用.htaccess做条件触发，查杀难度直接拉满。

不只是黑客在用

安全运维人员其实也用WebShell，只不过叫法不同——管理工具。比如一些老牌的主机管理面板，本质上就是一个功能完善的WebShell，方便管理员在线管理文件、数据库、FTP。区别在于，一个是授权使用，一个是非法植入。

但问题在于，很多被植入的WebShell会伪装成管理工具的样子。文件名取成adminer.php、phpmyadmin之类的，放在不起眼的子目录里。管理员如果只看文件名，很容易忽略过去。

检测和清除没那么简单

查WebShell，靠特征匹配经常漏。稍微有点经验的攻击者都会做免杀处理：变量函数、字符串拼接、base64多层编码、利用PHP的preg_replace执行代码。静态扫描能查出一部分，但查不干净。

比较靠谱的办法是看行为。Web服务进程突然去连内网数据库端口，或者执行了whoami、cat /etc/passwd这类命令，日志里一定有痕迹。文件监控也管用——网站目录里突然多出一个最近修改的PHP文件，内容里带eval、assert、system这些函数，基本可以确定有问题。

清除的时候不能只删文件。得先搞清楚怎么进来的——是上传漏洞、SQL注入写文件，还是弱口令被爆破。入口不堵，删了还会再传。同时要检查有没有其他后门，以及攻击者有没有留下计划任务、启动项、SSH公钥这些持久化手段。

WebShell这东西，本质上是把Web服务器的正常功能武器化了。它不高级，但足够有效。对攻击者来说，它是进入内网的跳板；对防守方来说，它是需要持续对抗的顽疾。理解它的用途，不是为了学怎么用，而是为了知道该盯住哪里。