ShellSweep

शेल स्वीपिंग द एविल

शेलस्वीप क्यों?

"ShellSweep" एक PowerShell/Python/Lua टूल है जो किसी निर्दिष्ट निर्देशिका में संभावित वेब शेल फ़ाइलों का पता लगाने के लिए डिज़ाइन किया गया है।

शेलस्वीप और इसके उपकरणों का सूट फ़ाइल सामग्री की एन्ट्रॉपी (entropy) की गणना करके किसी फ़ाइल के वेब शेल होने की संभावना का अनुमान लगाता है। उच्च एन्ट्रॉपी अधिक यादृच्छिकता को इंगित करती है, जो एन्क्रिप्टेड या अस्पष्ट कोड की विशेषता है जो अक्सर वेब शेल में पाए जाते हैं।

• यह केवल कुछ एक्सटेंशन (.asp, .aspx, .asph, .php, .jsp) वाली फ़ाइलों को प्रोसेस करता है, जो आमतौर पर वेब शेल में उपयोग होते हैं।
• स्कैनिंग से कुछ निर्देशिकाओं को बाहर रखा जा सकता है।
• स्कैन के दौरान कुछ हैश वाली फ़ाइलों को अनदेखा किया जा सकता है।

ShellSweep शेल कैसे ढूंढता है?

एन्ट्रॉपी, सूचना सिद्धांत या डेटा विज्ञान के संदर्भ में, डेटा के एक सेट में अप्रत्याशितता, यादृच्छिकता या विकार का माप है। यह अवधारणा क्लॉड शैनन द्वारा 1948 के अपने पेपर "A Mathematical Theory of Communication" में पेश की गई थी।

जब किसी फ़ाइल या टेक्स्ट की स्ट्रिंग पर लागू किया जाता है, तो एन्ट्रॉपी डेटा की यादृच्छिकता का आकलन करने में मदद कर सकती है। यह इस प्रकार काम करता है: यदि कोई फ़ाइल पूरी तरह से यादृच्छिक डेटा से बनी है (प्रत्येक बाइट 0 और 255 के बीच किसी भी मान के होने की समान संभावना है), तो एन्ट्रॉपी उच्च है, 8 के करीब (क्योंकि log2(256) = 8)।

यदि कोई फ़ाइल अत्यधिक संरचित डेटा से बनी है (उदाहरण के लिए, एक टेक्स्ट फ़ाइल जहां अधिकांश बाइट्स ASCII वर्ण हैं), तो एन्ट्रॉपी कम होती है। वेब शेल या दुर्भावनापूर्ण फ़ाइलों को खोजने के संदर्भ में, एन्ट्रॉपी एक उपयोगी संकेतक हो सकता है:

• कई अस्पष्ट स्क्रिप्ट या एन्क्रिप्टेड पेलोड में उच्च एन्ट्रॉपी हो सकती है क्योंकि अस्पष्टीकरण या एन्क्रिप्शन प्रक्रिया डेटा को यादृच्छिक बनाती है।
• एक सामान्य टेक्स्ट फ़ाइल या HTML फ़ाइल में आमतौर पर कम एन्ट्रॉपी होगी क्योंकि मानव-पठनीय टेक्स्ट में पैटर्न और संरचना होती है (कुछ अक्षर अधिक सामान्य होते हैं, शब्द आमतौर पर रिक्त स्थान से अलग होते हैं, आदि)। इसलिए, असामान्य रूप से उच्च एन्ट्रॉपी वाली फ़ाइल संदिग्ध हो सकती है और आगे की जांच के योग्य हो सकती है। हालांकि, यह दुर्भावना का एक निश्चित संकेतक नहीं है - ऐसे कई वैध कारण हैं जिनसे फ़ाइल में उच्च एन्ट्रॉपी हो सकती है, और मैलवेयर उच्च एन्ट्रॉपी से बचने के कई तरीके हो सकते हैं। यह संभावित खतरों का पता लगाने के लिए एक बड़े टूलबॉक्स में सिर्फ एक उपकरण है।

ShellSweep में एक Get-Entropy फ़ंक्शन शामिल है जो किसी फ़ाइल की सामग्री की एन्ट्रॉपी की गणना इस प्रकार करता है:

• प्रत्येक वर्ण फ़ाइल में कितनी बार दिखाई देता है, इसकी गणना करके।
• इन आवृत्तियों का उपयोग करके प्रत्येक वर्ण की संभावना की गणना करना।
• प्रत्येक वर्ण के लिए -p*log2(p) का योग करना, जहां p वर्ण की संभावना है। यह सूचना सिद्धांत में एन्ट्रॉपी का सूत्र है।

ShellSweepX क्यों?

ShellSweepX ShellSweep की मुख्य कार्यक्षमता को अगले स्तर पर ले जाता है, पारंपरिक EDR (एंडपॉइंट डिटेक्शन एंड रिस्पॉन्स) समाधानों पर कई लाभ प्रदान करता है:

1. विशिष्ट फोकस: EDR समाधानों के विपरीत जो एक व्यापक जाल बिछाते हैं, ShellSweepX विशेष रूप से वेब शेल का पता लगाने के लिए डिज़ाइन किया गया है। यह विशिष्ट फोकस इन विशेष खतरों का अधिक सटीक और कुशल पता लगाने की अनुमति देता है।

2. कम संसाधन ओवरहेड: ShellSweepX हल्का है और इसे कई EDR समाधानों के विपरीत निरंतर पृष्ठभूमि प्रक्रियाओं या सिस्टम निगरानी की आवश्यकता नहीं होती है। इसका मतलब सिस्टम प्रदर्शन पर कम प्रभाव पड़ता है।

3. अनुकूलन योग्य और पारदर्शी: ShellSweepX की ओपन-सोर्स प्रकृति इसकी पहचान विधियों में पूर्ण पारदर्शिता की अनुमति देती है। आप अपने विशिष्ट वातावरण के अनुरूप पहचान मापदंडों को आसानी से अनुकूलित और बारीक कर सकते हैं।

4. बाहरी सेवाओं पर कोई निर्भरता नहीं: ShellSweepX क्लाउड-आधारित विश्लेषण या निरंतर अपडेट पर निर्भर हुए बिना स्थानीय रूप से काम करता है, यह सुनिश्चित करता है कि आपका संवेदनशील डेटा आपके नियंत्रण में रहे।

5. बहु-स्तरीय पहचान: ShellSweepX एन्ट्रॉपी विश्लेषण, पैटर्न मिलान, और अनुमानी विश्लेषण सहित विभिन्न पहचान विधियों को नियोजित करता है, जो वेब शेल पहचान के लिए एक व्यापक दृष्टिकोण प्रदान करता है।

6. विस्तृत रिपोर्टिंग: ShellSweepX संभावित खतरों के बारे में गहन जानकारी प्रदान करता है, जिसमें एन्ट्रॉपी मान, पहचान विधियां, और विश्वास स्कोर शामिल हैं, जो अधिक सूचित निर्णय लेने की अनुमति देता है।

7. क्रॉस-प्लेटफॉर्म अनुकूलता: PowerShell, Python, और Lua में उपलब्ध संस्करणों के साथ, ShellSweepX को विभिन्न वातावरणों में तैनात किया जा सकता है।

जबकि ShellSweepX एक पूर्ण विकसित EDR समाधान का विकल्प नहीं है, यह आपके सुरक्षा शस्त्रागार में एक शक्तिशाली, विशिष्ट उपकरण के रूप में कार्य करता है, विशेष रूप से उन वातावरणों के लिए जहां वेब शेल एक महत्वपूर्ण खतरा पैदा करते हैं।

सुविधा तुलना