Web Shell Detector

Web Shell Detector é um script PHP que ajuda a encontrar e identificar shells php/cgi(perl)/asp/aspx. O Web Shell Detector possui uma base de dados de assinaturas de "web shells" que ajuda a identificar "web shell" em até 99%. Utilizando as mais recentes tecnologias javascript e css, o web shell detector possui uma interface leve e amigável.

Web Shell Detector é distribuído sob a Licença MIT http://www.opensource.org/licenses/mit-license.php

Versão console (python): https://github.com/emposha/Shell-Detector

Contribuidores

Piotr Łuczko

John Thornton

Detecção

Número de shells conhecidos: 604

Requisitos

PHP 5.x, OpenSSL (apenas para envio seguro de arquivos)

Uso

Para ativar o Web Shell Detector:

1. Faça upload do shelldetect.php e shelldetect.db para o diretório raiz

2. Abra o arquivo shelldetect.php no seu navegador

   Exemplo: http://www.website.com/shelldetect.php

3. Use o nome de usuário e senha padrão

   Usuário: admin Senha: protect

4. Inspecione todos os arquivos estranhos; se alguns parecerem suspeitos, envie-os para a equipe do http://www.shelldetector.com. Após enviar seu arquivo, ele será inspecionado e, se houver ameaças, será inserido na base de dados de assinaturas de "web shells" do "web shell detector".

5. Se algum web shell for encontrado e identificado, use seu cliente ftp/ssh para removê-lo do seu servidor web (IMPORTANTE: tenha cuidado, pois alguns shells podem estar integrados em arquivos do sistema!).

Demonstração

http://www.emposha.com/demo/shelldetect/

Opções

• extension - extensões que devem ser escaneadas
• showlinenumbers - mostra o número da linha onde a função suspeita foi usada
• dateformat - usado com tempo de acesso e tempo de modificação
• langauge - se eu quiser usar outro idioma
• directory - escanear diretório específico
• task - realizar diferentes tarefas
• report_format - usado com is_cron(true) formato de arquivo para o arquivo de relatório
• is_cron - se verdadeiro, executa como um cron (sem saída)
• filelimit - número máximo de arquivos para escanear (mais de 30000 você deve escanear um diretório específico)
• useget - ativar a variável _GET para facilitar o recebimento de tarefas
• authentication - proteger o script com usuário e senha; para desabilitar, simplesmente defina como NULL
• remotefingerprint - obter banco de assinaturas de shells remotamente

Changelog

• 1.66 agradecimentos a John Thornton por pequenos ajustes e suporte ao PHP 5.3.3

• 1.64 suporte a arquivo de configuração ini adicionado (caso queira usar as mesmas configurações sem alterar o código), método de saída reescrito, is_cron corrigido, tradução italiana adicionada (agradecimentos a Marco Saiu)

• 1.63 novo mecanismo de reconhecimento de shell adicionado, assinaturas de shell atualizadas.

• 1.62 versão do jquery revertida para 1.7.x devido a bug com diálogo do jquery ui, novo tipo de arquivos adicionado, assinaturas de shell atualizadas

• 1.61 adicionado novo método para enviar arquivos suspeitos, algumas correções de css e código, novas assinaturas de shell adicionadas

• 1.6 adicionado suporte para indicar arquivos que não são shell (mas ainda assim esses arquivos precisam ser removidos), indicador de carregamento adicionado

• 1.52 meta tag noindex adicionada (para remover o script dos resultados de busca), opção de escanear todos os arquivos adicionada: extension = *

• 1.51 atualização da função unpack

• 1.5 função unpack adicionada, verificação de versão do aplicativo adicionada, muitos avisos corrigidos, manipulador de erros corrigido.

• 1.4 opção de ocultar arquivos suspeitos adicionada, escaneamento de arquivos alterado.

• 1.3 envio de arquivo suspeito para shelldetector.com alterado, campo de e-mail adicionado com capacidade de receber notificação sobre arquivo suspeito.

• 1.2 função de criptografia adicionada, autenticação adicionada, alguns pequenos bugs corrigidos

• 1.1 alteração da função de impressão digital expressão regular de linha alterada

• 1.0 primeira versão