Web Shell Detector

Web Shell Detector – ist ein PHP-Skript, das Ihnen hilft, php/cgi(perl)/asp/aspx-Shells zu finden und zu identifizieren. Web Shell Detector verfügt über eine Signaturdatenbank für „Web Shells“, die hilft, eine „Web Shell“ zu 99 % zu identifizieren. Durch den Einsatz modernster JavaScript- und CSS-Technologien hat Web Shell Detector eine leichte und benutzerfreundliche Oberfläche.

Web Shell Detector wird unter der MIT-Lizenz veröffentlicht http://www.opensource.org/licenses/mit-license.php

Konsolenversion (python): https://github.com/emposha/Shell-Detector

Mitwirkende

Piotr Łuczko

John Thornton

Erkennung

Anzahl bekannter Shells: 604

Voraussetzungen

PHP 5.x, OpenSSL (nur für sicheren Dateiversand)

Verwendung

So aktivieren Sie Web Shell Detector:

1. Laden Sie shelldetect.php und shelldetect.db in Ihr Stammverzeichnis hoch

2. Öffnen Sie die Datei shelldetect.php in Ihrem Browser

   Beispiel: http://www.website.com/shelldetect.php

3. Verwenden Sie den Standardbenutzernamen und das Standardpasswort

   Benutzername: admin Passwort: protect

4. Überprüfen Sie alle verdächtigen Dateien. Falls einige Dateien verdächtig erscheinen, senden Sie sie an das Team von http://www.shelldetector.com. Nach dem Einreichen wird Ihre Datei untersucht und falls Bedrohungen vorhanden sind, wird sie in die Signaturdatenbank für „Web Shells“ von Web Shell Detector aufgenommen.

5. Falls Web-Shells gefunden und identifiziert wurden, entfernen Sie sie mit Ihrem FTP/SSH-Client von Ihrem Webserver (WICHTIG: Seien Sie vorsichtig, da einige Shells in Systemdateien integriert sein könnten!).

Demo

http://www.emposha.com/demo/shelldetect/

Optionen

• extension - Erweiterungen, die gescannt werden sollen
• showlinenumbers - Zeilennummer anzeigen, in der eine verdächtige Funktion verwendet wird
• dateformat - wird mit Zugriffszeit & Änderungszeit verwendet
• langauge - falls ich eine andere Sprache verwenden möchte
• directory - bestimmtes Verzeichnis scannen
• task - verschiedene Aufgaben ausführen
• report_format - wird mit is_cron(true) für das Format der Berichtsdatei verwendet
• is_cron - wenn true, wie ein Cron ausführen (keine Ausgabe)
• filelimit - maximale Anzahl von Dateien zum Scannen (bei mehr als 30000 sollten Sie ein bestimmtes Verzeichnis scannen)
• useget - _GET-Variable aktivieren für einfache Aufgabenübernahme
• authentication - Skript mit Benutzer und Passwort schützen; zum Deaktivieren einfach auf NULL setzen
• remotefingerprint - Shell-Signatur-DB remote abrufen

Änderungsprotokoll

• 1.66 dank John Thornton für kleine Anpassungen und PHP 5.3.3-Unterstützung

• 1.64 Unterstützung für Einstellungs-Ini-Datei hinzugefügt (falls Sie dieselben Einstellungen ohne Codeänderung verwenden möchten), Ausgabemethode neu geschrieben, is_cron korrigiert, italienische Übersetzung hinzugefügt (dank Marco Saiu)

• 1.63 neuer Shell-Erkennungsmechanismus hinzugefügt, Shell-Signaturen aktualisiert.

• 1.62 jQuery-Version auf 1.7.x zurückgesetzt aufgrund eines Fehlers im jQuery UI Dialog, neue Dateitypen hinzugefügt, Shell-Signaturen aktualisiert

• 1.61 neue Möglichkeit zum Senden verdächtiger Dateien hinzugefügt, einige CSS- und Code-Korrekturen, neue Shell-Signaturen hinzugefügt

• 1.6 Unterstützung zur Kennzeichnung von Nicht-Shell-Dateien hinzugefügt (diese Dateien müssen jedoch dennoch entfernt werden), Ladeindikator hinzugefügt

• 1.52 noindex-Meta-Tag hinzugefügt (um das Skript aus Suchergebnissen zu entfernen), Option zum Scannen aller Dateien hinzugefügt: extension = *

• 1.51 unpack-Funktion aktualisiert

• 1.5 unpack-Funktion hinzugefügt, Anwendungsversionsprüfung hinzugefügt, viele Warnungen behoben, Fehlerbehandlung korrigiert.

• 1.4 Option zum Ausblenden verdächtiger Dateien hinzugefügt, Dateiscanning geändert.

• 1.3 Einreichung verdächtiger Dateien an shelldetector.com geändert, E-Mail-Feld hinzugefügt mit der Möglichkeit, Benachrichtigungen über verdächtige Dateien zu erhalten.

• 1.2 Verschlüsselungsfunktion hinzugefügt, Authentifizierung hinzugefügt, einige kleine Fehler behoben

• 1.1 Fingerabdruck-Funktion geändert show line regex geändert

• 1.0 erste Version