Web应急思路

找到webshell --> 确定攻击者IP --> 回溯攻击者操作 --> 梳理整个攻击过程

1.寻找webshell方法

1.文件内容中的恶意函数
2.web日志中的webshell特征
3.贴合web业务中的URL来分析web日志
4.源码版本管理对比，注重修改或新增的脚本文件
5.统计学模型  每天新增的脚本文件
6.统计学模型  低频访问的脚本文件
7.工具查杀
...

2.文件中的恶意函数

PHP:eval system  shell_exec  assert.......
JSP:getRunTime   FileOutputStream
ASP:eval execute ExecuteGlobal

3.web日志统计

查看每个IP访问次数
cat access.log | awk '{print $1}' | sort | uniq -c访问URL排序
cat access.log | awk '{print $11}' | sort | uniq -c | sort -rn | head访问指定资源日志
cat access.log | awk '{print $7}' | grep /%25Domain | sort | uniq -c | sort -rn | more