Web应急思路
找到webshell --> 确定攻击者IP --> 回溯攻击者操作 --> 梳理整个攻击过程
1.寻找webshell方法
1.文件内容中的恶意函数
2.web日志中的webshell特征
3.贴合web业务中的URL来分析web日志
4.源码版本管理对比，注重修改或新增的脚本文件
5.统计学模型 每天新增的脚本文件
6.统计学模型 低频访问的脚本文件
7.工具查杀
...
2.文件中的恶意函数
PHP:eval system shell_exec assert.......
JSP:getRunTime FileOutputStream
ASP:eval execute ExecuteGlobal
3.web日志统计
查看每个IP访问次数
cat access.log | awk '{print $1}' | sort | uniq -c访问URL排序
cat access.log | awk '{print $11}' | sort | uniq -c | sort -rn | head访问指定资源日志
cat access.log | awk '{print $7}' | grep /%25Domain | sort | uniq -c | sort -rn | more
)
