WebShell 查杀后仍有流量怎么办

第一步：确认并隔离威胁

• 立即隔离：最重要的一步是立即将受感染的服务器从网络中隔离出来。拔掉网线，或者在防火墙上设置策略，切断所有入站和出站的网络连接。这能防止攻击者继续控制服务器，并阻止他们进行横向移动，感染其他内网资产
• 确认流量来源：
  • 查看进程：使用 netstat -ano （Windows）或 netstat -anp （Linux）命令，查找建立异常外连的进程
  • 关联PID：找到可疑进程的PID（进程ID），然后使用 ps -ef | grep [PID] （Linux）或任务管理器（Windows）来确定该进程的详细信息，包括其父进程、启动路径和命令行参数

第二步：分析与清除持久化机制

当 WebShell 被清除后，外连流量依然存在，这表明攻击者已经利用 WebShell 留下了后门

• 排查计划任务：攻击者最常用的持久化方式之一就是利用计划任务
  • Linux：检查 /etc/crontab、/etc/cron.d/、/var/spool/cron/ 和用户的 crontab -l，查找是否有可疑的定时任务，例如定时执行脚本或下载恶意文件的任务
  • Windows：使用 schtasks 命令或任务计划程序来检查是否存在异常的定时任务
• 排查自启动项：恶意程序可能会通过系统自启动项实现开机自启
  • Linux：检查 /etc/rc.local、/etc/profile、~/.bashrc 等文件
  • Windows：检查注册表的 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run 和 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
• 排查系统服务：攻击者可能会创建新的系统服务
  • Windows：使用 services.msc 或 sc query state=all 命令检查是否有异常服务
  • Linux：检查 /etc/init.d/ 或 /lib/systemd/system/ 目录
• 排查系统后门文件：恶意文件可能被伪装成系统文件，藏在 /tmp、/var/tmp 或 /var/shm 等临时目录，甚至是 /bin 或 /usr/bin 下

第三步：取证与溯源

在清除所有威胁后，我们需要进行更深入的取证，以了解攻击者是如何入侵的

• 检查日志：
  • Web日志：分析Web服务器的 access.log 和 error.log，查找可疑的入侵路径
  • 系统日志：检查 /var/log/secure 或 auth.log，看是否有异常登录或权限提升记录
  • 其他日志：检查数据库、FTP 等服务的日志，寻找可疑的活动
• 文件时间戳：使用 ls -alt 命令，查看最近修改的文件，这有助于发现攻击者新创建的恶意文件
• 威胁情报：将可疑的 IP 地址、域名、文件哈希值提交到威胁情报平台，看它们是否与已知的恶意活动相关

第四步：修复漏洞并加固

• 漏洞修复：定位并修复被利用的漏洞。如果攻击者是通过 WebShell 入侵的，很可能是因为 Web 应用存在漏洞，例如文件上传、代码执行或反序列化漏洞
• 权限收紧：
  • 应用权限：将 Web 应用以低权限用户运行，限制其对文件系统的读写权限
  • 账户权限：删除攻击者创建的任何后门账户，并修改所有关键账户的密码
• 安全设备加固：
  • WAF/IPS：更新 WAF 和 IPS 的规则，以阻止已知的攻击 Payload
  • 端点安全：在服务器上部署 EDR，增强对恶意进程的检测和响应能力