A webshell a támadó hátsó ajtaja: miután egy sebezhetőségen át bejutott, ezzel tartja meg a hozzáférést akkor is, ha az eredeti hibát közben kijavítják. Ezért egy kritikus hiba javítása után is érdemes megnézni, nem maradt-e ilyen fájl a szerveren.
Hogyan lehet megtalálni
- PHP-fájl a feltöltési, kép- vagy gyorsítótár-mappában, ahol nem volna helye.
- Gyanús függvényhívások a kódban, például kódolt szöveg futtatása.
- A verziókezelőhöz képest eltérő vagy ismeretlen fájlok a webrootban.
- A webszerver felhasználója shellt vagy letöltőprogramot indít.
A feltöltési mappákban a PHP futtatásának tiltása eleve kizárja a webshellek nagy részét. Ez a WordPress-karbantartás egyik alapbeállítása.