Un web shell poate oferi unui atacator execuție continuă de comenzi printr-un server web compromis. Chiar și atunci când vulnerabilitatea originală nu mai este vizibilă, crearea sau modificarea fișierelor executabile de server poate lăsa dovezi pe care apărătorii le pot monitoriza.
Sursa definește două abordări de detecție complementare: monitorizarea integrității fișierelor cu Wazuh și evenimentele de creare de fișiere Sysmon.
De ce contează monitorizarea fișierelor de web shell
Comportamentul acoperit de această vânătoare include încărcarea arbitrară de fișiere, path traversal, deserializarea, injecția de comenzi și persistența post-RCE.
Detecția se concentrează pe extensii de fișiere și directoare asociate frecvent cu execuția pe partea de server:
fișiere ASPX sub SharePoint sau IIS;
fișiere JSP sub directoare de aplicații Java;
fișiere PHP sub rădăcinile web;
fișiere CGI în directoarele CGI;
fișiere ASHX sub IIS.
Un fișier nou într-una dintre aceste locații nu este automat malițios. Aplicațiile și implementările pot crea fișiere în mod legitim. Totuși, scripturile de server neașteptate — mai ales în medii de producție — ar trebui examinate.
Interogare Wazuh de monitorizare a integrității fișierelor
rule.groups:syscheck and syscheck.event:(added or modified) and syscheck.path:(*spinstall*.aspx or *\_layouts\*.aspx or *\inetpub\wwwroot\*.aspx or */webapps/*.jsp or */j2ee/cluster/apps/*.jsp or */htdocs/*.php or */www/*.php or */public_html/*.php or */cgi-bin/*.cgi)
Această interogare monitorizează fișierele care au fost adăugate sau modificate în căile de aplicație selectate.
Interogare Sysmon de creare de fișiere
data.win.system.eventID:11 and data.win.eventdata.targetFilename:(*spinstall*.aspx or *\_layouts\*.aspx or *\inetpub\wwwroot\*.aspx or *\webapps\*.jsp or *\wwwroot\*.ashx)
Evenimentul Sysmon cu ID 11 oferă o altă modalitate de a detecta crearea de fișiere suspecte pe sistemele Windows.
Sursa a înregistrat zero potriviri în ultimele 30 de zile.
Cum se investighează o potrivire
Un singur eveniment de fișier ar trebui îmbogățit cu context înainte de a se trage o concluzie.
Întrebări importante includ:
Care proces a creat sau a modificat fișierul?
Care cont a efectuat acțiunea?
A existat o activitate de implementare sau de aplicare de patch-uri în același timp?
Corespunde numele fișierului cu linia de bază a aplicației?
A fost fișierul accesat prin HTTP după creare?
A lansat serverul ulterior
cmd.exe, PowerShell sau un alt shell?Conține fișierul funcționalitate de scripting sau de execuție de comenzi neașteptată?
Compararea hash-ului fișierului cu pachetele de aplicație cunoscute ca fiind bune poate ajuta, de asemenea, la determinarea dacă fișierul aparține unei implementări aprobate.
Corelarea cu activitatea proceselor
Detecția web shell-urilor devine mai puternică atunci când evenimentele de fișier sunt corelate cu crearea de procese.
De exemplu:
fișier ASPX nou → acces HTTP → w3wp.exe → powershell.exe
oferă mai multă încredere decât orice eveniment individual în sine.
Același lucru se aplică sistemelor Java sau PHP. Un fișier JSP sau PHP nou urmat de o execuție de shell neașteptată merită o prioritate semnificativ mai mare.
Reglarea detecției
Deoarece implementările de aplicații pot modifica în mod legitim directoarele web, reglarea ar trebui să țină cont de pipeline-urile de release cunoscute și de ferestrele de mentenanță aprobate.
Excepțiile ar trebui să fie specifice. În loc de a exclude o întreagă rădăcină web, luați în considerare limitarea unei excepții la un proces de implementare cunoscut, o cale așteptată, un pachet aprobat sau un cont de serviciu.
Obiectivul este de a păstra vizibilitatea asupra modificărilor neașteptate de fișiere, reducând totodată zgomotul provenit din modificările controlate.
Utilizare operațională
Sursa nu a identificat potriviri în perioada de 30 de zile, dar absența evenimentelor poate fi în continuare utilă. O regulă cu volum redus poate deveni o alertă de mare valoare atunci când este implementată într-un mediu de producție stabil, în care fișierele executabile de server se modifică rar.
Pentru serverele web, platformele de aplicații și mediile SharePoint, monitorizarea integrității fișierelor rămâne un complement important al telemetriei de proces și de rețea atunci când se caută exploatare și persistență.
