Detector de Web Shells

Web Shell Detector – es un script PHP que te ayuda a encontrar e identificar shells php/cgi(perl)/asp/aspx. Web Shell Detector cuenta con una base de datos de firmas de "web shells" que permite identificar "web shell" hasta en un 99%. Gracias al uso de las últimas tecnologías javascript y css, web shell detector tiene una interfaz ligera y amigable.

Web Shell Detector se publica bajo la Licencia MIT http://www.opensource.org/licenses/mit-license.php

Versión de consola (python): https://github.com/emposha/Shell-Detector

Contribuyentes

Piotr Łuczko

John Thornton

Detección

Número de shells conocidos: 604

Requisitos

PHP 5.x, OpenSSL (solo para envío seguro de archivos)

Uso

Para activar Web Shell Detector:

1. Sube shelldetect.php y shelldetect.db a tu directorio raíz

2. Abre el archivo shelldetect.php en tu navegador

   Ejemplo: http://www.website.com/shelldetect.php

3. Usa el nombre de usuario y contraseña predeterminados

   Usuario: admin Contraseña: protect

4. Inspecciona todos los archivos extraños; si algunos parecen sospechosos, envíalos al equipo de http://www.shelldetector.com. Después de enviar tu archivo, será inspeccionado y, si hay alguna amenaza, se insertará en la base de datos de firmas de "web shell" de "web shell detector".

5. Si se encuentran e identifican web shells, usa tu cliente ftp/ssh para eliminarlas de tu servidor web (IMPORTANTE: ten cuidado porque algunos shells pueden estar integrados en archivos del sistema).

Demo

http://www.emposha.com/demo/shelldetect/

Opciones

• extension - extensiones que deben escanearse
• showlinenumbers - muestra el número de línea donde se usa una función sospechosa
• dateformat - se usa con la hora de acceso y la hora de modificación
• langauge - si deseas usar otro idioma
• directory - escanea un directorio específico
• task - realiza una tarea diferente
• report_format - se usa con is_cron(true) formato de archivo para el archivo de informe
• is_cron - si es true, se ejecuta como un cron (sin salida)
• filelimit - máximo de archivos a escanear (más de 30000 deberías escanear un directorio específico)
• useget - activa la variable _GET para una forma sencilla de recibir tareas
• authentication - protege el script con usuario y contraseña; para desactivar, simplemente establecer en NULL
• remotefingerprint - obtener la base de datos de firmas de shells de forma remota

Registro de cambios

• 1.66 gracias a John Thornton por pequeños ajustes y soporte para php 5.3.3

• 1.64 se agregó soporte para archivo de configuración ini (en caso de que quieras usar la misma configuración sin cambiar el código), se reescribió el método de salida, se corrigió is_cron, se agregó traducción al italiano (gracias a Marco Saiu)

• 1.63 se agregó un nuevo mecanismo de reconocimiento de shells, se actualizaron las firmas de shells.

• 1.62 se revirtió la versión de jquery a 1.7.x debido a un error con el diálogo de jquery ui, se agregaron nuevos tipos de archivos, se actualizaron las firmas de shells

• 1.61 se agregó una nueva forma de enviar archivos sospechosos, algunas correcciones de css y código, se agregaron nuevas firmas de shells

• 1.6 se agregó soporte para indicar archivos que no son shell (pero aún así esos archivos deben eliminarse), se agregó indicador de carga

• 1.52 se agregó etiqueta meta noindex (para eliminar el script de los resultados de búsqueda), se agregó opción de escanear todos los archivos: extension = *

• 1.51 actualización de la función unpack

• 1.5 se agregó función unpack, se agregó verificación de versión de la aplicación, se corrigieron muchas advertencias, se corrigió el manejador de errores.

• 1.4 se agregó opción para ocultar archivos sospechosos, se cambió el escaneo de archivos.

• 1.3 se cambió el envío de archivos sospechosos a shelldetector.com, se agregó campo de correo electrónico con la capacidad de recibir notificaciones sobre archivos sospechosos.

• 1.2 se agregó función de cifrado, se agregó autenticación, se corrigieron algunos errores pequeños

• 1.1 cambio de función de huella digital cambio de expresión regular de línea de show

• 1.0 primera versión