Een webshell kan een aanvaller blijvende opdrachtuitvoering geven via een gecompromitteerde webserver. Zelfs wanneer de oorspronkelijke kwetsbaarheid niet meer zichtbaar is, kan het aanmaken of wijzigen van serverzijdige uitvoerbare bestanden sporen achterlaten die verdedigers kunnen bewaken.
De bron definieert twee elkaar aanvullende detectiebenaderingen: Wazuh File Integrity Monitoring en Sysmon-gebeurtenissen voor bestandscreatie.
Waarom bewaking van webshellbestanden belangrijk is
Het gedrag dat deze zoekactie dekt, omvat het uploaden van willekeurige bestanden, path traversal, deserialisatie, commando-injectie en persistentie na RCE.
De detectie richt zich op bestandsextensies en mappen die gewoonlijk met serverzijdige uitvoering worden geassocieerd:
ASPX-bestanden onder SharePoint of IIS;
JSP-bestanden onder Java-applicatiemappen;
PHP-bestanden onder webroots;
CGI-bestanden in CGI-mappen;
ASHX-bestanden onder IIS.
Een nieuw bestand op een van deze locaties is niet automatisch kwaadaardig. Toepassingen en implementaties kunnen legitiem bestanden aanmaken. Onverwachte serverzijdige scripts, vooral in productieomgevingen, moeten echter worden beoordeeld.
Wazuh File Integrity Monitoring-zoekopdracht
rule.groups:syscheck and syscheck.event:(added or modified) and syscheck.path:(*spinstall*.aspx or *\_layouts\*.aspx or *\inetpub\wwwroot\*.aspx or */webapps/*.jsp or */j2ee/cluster/apps/*.jsp or */htdocs/*.php or */www/*.php or */public_html/*.php or */cgi-bin/*.cgi)
Deze zoekopdracht bewaakt bestanden die zijn toegevoegd of gewijzigd in geselecteerde toepassingspaden.
Sysmon-zoekopdracht voor bestandscreatie
data.win.system.eventID:11 and data.win.eventdata.targetFilename:(*spinstall*.aspx or *\_layouts\*.aspx or *\inetpub\wwwroot\*.aspx or *\webapps\*.jsp or *\wwwroot\*.ashx)
Sysmon-gebeurtenis-ID 11 biedt een andere manier om het aanmaken van verdachte bestanden op Windows-systemen te detecteren.
De bron registreerde nul overeenkomsten in de afgelopen 30 dagen.
Hoe een overeenkomst te onderzoeken
Een afzonderlijke bestandsgebeurtenis moet met context worden verrijkt voordat een conclusie wordt getrokken.
Belangrijke vragen zijn:
Welk proces heeft het bestand aangemaakt of gewijzigd?
Welk account heeft de actie uitgevoerd?
Was er op hetzelfde moment sprake van implementatie- of patchactiviteit?
Komt de bestandsnaam overeen met de referentiebasis van de toepassing?
Is er na het aanmaken via HTTP toegang tot het bestand geweest?
Heeft de server vervolgens
cmd.exe, PowerShell of een andere shell gestart?Bevat het bestand onverwachte script- of opdrachtuitvoeringsfunctionaliteit?
Het vergelijken van de bestandshash met bekende, goede toepassingspakketten helpt ook vast te stellen of het bestand bij een goedgekeurde implementatie hoort.
Correleren met procesactiviteit
Webshelldetectie wordt sterker wanneer bestandsgebeurtenissen worden gecorreleerd met procescreatie.
Bijvoorbeeld:
new ASPX file → HTTP access → w3wp.exe → powershell.exe
geeft meer vertrouwen dan elke afzonderlijke gebeurtenis op zichzelf.
Hetzelfde geldt voor Java- of PHP-systemen. Een nieuw JSP- of PHP-bestand gevolgd door onverwachte shelluitvoering verdient een aanzienlijk hogere prioriteit.
De detectie afstemmen
Omdat toepassingsimplementaties webmappen legitiem kunnen wijzigen, moet bij de afstemming rekening worden gehouden met bekende releasepipelines en goedgekeurde onderhoudsvensters.
Uitzonderingen moeten specifiek zijn. Overweeg in plaats van een hele webroot uit te sluiten een uitzondering te beperken tot een bekend deploymentproces, verwacht pad, goedgekeurd pakket of serviceaccount.
Het doel is de zichtbaarheid van onverwachte bestandswijzigingen te behouden en tegelijk de ruis van gecontroleerde wijzigingen te verminderen.
Operationeel gebruik
De bron identificeerde in de periode van 30 dagen geen overeenkomsten, maar het ontbreken van gebeurtenissen kan toch nuttig zijn. Een regel met een laag volume kan een waardevolle melding worden wanneer ze wordt ingezet in een stabiele productieomgeving waar serverzijdige uitvoerbare bestanden zelden veranderen.
Voor webservers, applicatieplatformen en SharePoint-omgevingen blijft bewaking van bestandsintegriteit een belangrijke aanvulling op proces- en netwerktelemetrie bij het opsporen van misbruik en persistentie.
