Webshell, jak jeden wgrany plik oddaje serwer w obce ręce
Spośród wszystkich rodzajów luk najbardziej boję się jednej: możliwości wgrania własnego pliku PHP na serwer. Bo to nie „podmiana tekstu" to wpuszczenie obcego kodu, który robi, co zechce.
Jak to działa
Strona ma pole do wysyłki plików, awatar, załącznik do formularza, zdjęcie do galerii. Jeśli nie sprawdza dokładnie, co się wgrywa, napastnik podrzuca plik PHP zamiast obrazka. Taki plik to tzw. webshell, mały panel sterowania, przez który obcy przegląda pliki, czyta bazę, zakłada konta i rozsyła spam.
Dokładnie tak wyglądała głośna luka we wtyczce File Manager: wgranie pliku bez logowania i pełne przejęcie strony w kilka godzin.
Dlaczego to takie trwałe
Webshelle są ciche i rozmnażają się. Po włamaniu napastnik zostawia ich kilka w różnych miejscach. Usuniesz jeden, zostają pozostałe, przez które wraca. To główny powód, dla którego „wyczyszczona" strona po tygodniu znów jest zainfekowana.
Co Cię chroni
- Aktualizacje: luki w polach wysyłki to błędy w konkretnych wtyczkach.
- Blokada wykonywania PHP w katalogu uploads: nawet wgrany plik się nie uruchomi.
- Skan integralności plików: wykrywa nowe, obce pliki.
- Usuwanie zbędnych wtyczek z funkcją wysyłki plików.
Znalezienie wszystkich webshelli i zamknięcie furtki to robota dla kogoś, kto robi to na co dzień. Jeśli podejrzewasz infekcję, odezwij się, zanim wróci.